CVE-2026-32913

소스 코드를 검토하는 동안, 저는 OpenClaw가 HTTP 요청을 처리하는 방식, 특히 서버 측 fetch 호출을 담당하는 fetchWithSsrFGuard 함수에 집중했습니다. 이상한 점을 발견했습니다. 요청이 교차 출처 리디렉션즉, 서버가 다른 도메인을 가리키는 3xx 응답을 보낸 경우을 따를 때, OpenClaw는 새 대상으로 요청을 전달하기 전에 민감한 헤더를 제거해야 했습니다. 실제로 제거는 했지만, 하드코딩된 좁은 차단 목록에 대해서만 그랬습니다: root@kitploit: Authorization,...