【复现】OpenClaw远程代码执行缝隙（CVE-2026-28466）

颁布功夫 2026-03-13

OpenClaw凭借其丰硕的职能和矫捷性，，，，， ，在2026年成为开源人为智能代理生态系统中的明星项目。。 。。。。作为一个谈天机械人平台，，，，， ，OpenClaw允许用户通过Web界面或即时通讯平台下达天然说话指令，，，，， ，实现邮件治理、日历调度、浏览器自动化、文件操作以及shell号令执行等高权限工作。。 。。。。


近日，，，，， ，OpenClaw建复了一个CVSS评分为9.4的严沉缝隙CVE-2026-28466，，，，， ，该缝隙是在Gateway转发node.invoke要求时，，，，， ，未对用户传入的参数做任何过滤，，，，， ，导致经过认证的客户端能够绕过执行审批机造。。 。。。。占有有效网关凭证的攻击者能够注入审批节造字段，，，，， ，在衔接的节点主机上执行肆意号令，，，，， ，成功利用将导致齐全节造节点主机。。 。。。。凭据网络空间测绘引擎FOFA的数据，，，，， ，截至2026年3月13日，，，，， ，互联网上存在116,672个潜在的易受攻击OpenClaw事俘。。 。。。。


缝霞述


Gateway是OpenClaw的主题服务，，，，， ，掌管治理所有新闻通路、会话调度和Agent编排，，，，， ，对表提供WebSocket API。。 。。。。Node是衔接到Gateway的终端设备（如：macOS/iOS/Android 利用或号令前过程），，，，， ，为系统提供本地执行能力，，，，， ，蕴含运行Shell号令、操控浏览器、接见摄像优等设备职能。。 。。。。Gateway通过node.invoke将执行要求发送到指标Node，，，，， ，Node在本地实现执行后将了局回传给Gateway，，，，， ，整个过程通过WebSocket的要求-响应机造实现。。 。。。。


2026.2.14之前版本的OpenClaw中，，，，， ，Gateway在转发node.invoke要求时未对params参数进行过滤，，，，， ，经过身份认证的用户能够在挪用参数中注入approved内部节造字段，，，，， ，绕过Node主机的执行审批机造，，，，， ，通过system.run在Node上执行肆意shell号令。。 。。。。


影响版本


OpenClaw<2026.2.14


缝隙道理



该缝隙的根因在于从Gateway到Node的整条挪用链路上，，，，， ，均未对用户可控的参数字段进行校验或过滤。。 。。。。


（1）Gateway端：原样转发，，，，， ，不外滤内部字段


Gateway的node.invoke处置函数将客户端传入的params直接传递给nodeRegistry.invoke()，，，，， ，未做任何字段剥离。。 。。。。



图片1.jpg


（2）Node Registry：序列化后直接发送


params被序列化为paramsJSON后直接通过WebSocket发送给Node，，，，， ，同样没有过滤。。 。。。。


图片2.jpg


（3）Node端：直接信赖params中的审批字段


Node反序列化后的参数中蕴含审批节造字段，，，，， ，审批评议逻辑直接读取该字段且无任何起源验证。。 。。。。当该字段被设为通过状态时，，，，， ，审批查抄和白名单校验均被跳过，，，，， ，号令直接执行，，，，， ，用户不会看到任何审批提醒。。 。。。。


图片3.jpg


缝隙风险


该缝隙允许任何经过Gateway身份认证的用户在未经Node主机所有者核准的情况下，，，，， ，远程执行肆意Shell号令。。 。。。。攻击者可借此：


    ? 齐全节造Node设备：读取、篡改或删除 Node 主机上的肆意文件。。 。。。。

    ? 窃取敏感数据：获取Node设备上的痛处、密钥、隐衷文件等。。 。。。。

    ? 横向移动：以Node主机为跳板，，，，， ，进一步渗入地点网络的其他系统。。 。。。。

    ? 悠久化驻留：植入后门法式或按时工作，，，，， ，维持对Node设备的持久接见。。 。。。。


缝隙复现


图片4.jpg


安全建议


（1）立即升级


OpenClaw官方已颁布安全公告并颁布了建复版本，，，，， ，请尽快升级至最新版本。。 。。。。


（2）一时缓解措施


    ? 确认Gateway未露出到公网：Gateway默认仅监听本机（127.0.0.1），，，，， ，确认启动参数中未使用将端口露出至表部网络的配置。。 。。。。

    ? 审查汗青执行纪录：排查Node主机上是否存在异常的system.run挪用，，，，， ，沉点关注未经正常审批流程、直接携带approved: true的要求。。 。。。。

    ? 最幼权限运行：以最低必要权限运行Node过程，，，，， ，预防使用root或治理怨厮户，，，，， ，降低号令执行后的影响领域。。 。。。。


截至目前，，，，， ，OpenClaw项目中已累计发现283个安全缝隙。。 。。。。本文分析的审批绕过缝隙是一个典型案例：职能逻辑齐全，，，，， ，但未验证"审批了局是否真事反自用户"。。 。。。。这也反映了AI Agent在安全设计上存在短板：系统往往偏差于信赖输入，，，，， ，优先实现职能而忽视了天堑前提和安全校验。。 。。。。出格是在涉及权限校验、信赖天堑等安全关键蹊径时，，，，， ，忽视这些细节可能带来严沉的安全风险。。 。。。。因而，，，，， ，用户在使用AI Agent时应维持审慎，，，，， ，确保对潜在的安全威胁和缝隙进行充分的鉴别与防备。。 。。。。


参考链接：

[1]https://github.com/advisories/GHSA-gv46-4xfq-jv58

[2]https://nvd.nist.gov/vuln/detail/CVE-2026-28466