GoPlus: ClawHub presenta una vulnerabilidad de falsificación de descargas y habilidades populares pueden contener código malicioso.

Según informa ChainCatcher, de acuerdo con una alerta de seguridad emitida por GoPlus Security, investigadores de seguridad de Silverfort han descubierto una vulnerabilidad grave en el repositorio de habilidades ClawHub de OpenClaw. Un atacante puede, mediante la llamada de la función interna downloads:increment, evadir todos los mecanismos de protección y, con solo una solicitud curl, aumentar el número de descargas a más de 20 mil en pocos minutos, logrando así que habilidades que contienen código malicioso lleguen al primer puesto en los resultados de búsqueda e induzcan a usuarios o a un AI Agent a instalarlas automáticamente.

Si se ejecuta una habilidad maliciosa, puede robar datos sensibles como billeteras cripto y claves API. La vulnerabilidad ya fue corregida en menos de 24 horas. GoPlus recomienda a los usuarios que un alto número de descargas no significa seguridad, y aconseja utilizar AgentGuard para escanear y protegerse.