【复现】OpenClaw远程代码执行误差（CVE-2026-28466）

宣布时间 2026-03-13

OpenClaw依附其富厚的功效和无邪性，， ，在2026年成为开源人工智能署理生态系统中的明星项目。。。。。作为一个谈天机械人平台，， ，OpenClaw允许用户通过Web界面或即时通讯平台下达自然语言指令，， ，完成邮件治理、日历调理、浏览器自动化、文件操作以及shell下令执行等高权限使命。。。。。


克日，， ，OpenClaw修复了一个CVSS评分为9.4的严重误差CVE-2026-28466，， ，该误差是在Gateway转发node.invoke请求时，， ，未对用户传入的参数做任何过滤，， ，导致经由认证的客户端可以绕过执行审批机制。。。。。拥有有用网关凭证的攻击者可以注入审批控制字段，， ，在毗连的节点主机上执行恣意下令，， ，乐成使用将导致完全控制节点主机。。。。。凭证网络空间测绘引擎FOFA的数据，， ，阻止2026年3月13日，， ，互联网上保存116,672个潜在的易受攻击OpenClaw实例。。。。。


误差形貌


Gateway是OpenClaw的焦点效劳，， ，认真治理所有新闻通道、会话调理和Agent编排，， ，对外提供WebSocket API。。。。。Node是毗连到Gateway的终端装备（如：macOS/iOS/Android 应用或下令行历程），， ，为系统提供外地执行能力，， ，包括运行Shell下令、操控浏览器、会见摄像头等装备功效。。。。。Gateway通过node.invoke将执行请求发送到目的Node，， ，Node在外地完成执行后将效果回传给Gateway，， ，整个历程通过WebSocket的请求-响应机制完成。。。。。


2026.2.14之前版本的OpenClaw中，， ，Gateway在转发node.invoke请求时未对params参数举行过滤，， ，经由身份认证的用户可以在挪用参数中注入approved内部控制字段，， ，绕过Node主机的执行审批机制，， ，通过system.run在Node上执行恣意shell下令。。。。。


影响版本


OpenClaw<2026.2.14


误差原理



该误差的根因在于从Gateway到Node的整条挪用链路上，， ，均未对用户可控的参数字段举行校验或过滤。。。。。


（1）Gateway端：原样转发，， ，不过滤内部字段


Gateway的node.invoke处置惩罚函数将客户端传入的params直接转达给nodeRegistry.invoke()，， ，未做任何字段剥离。。。。。



图片1.jpg


（2）Node Registry：序列化后直接发送


params被序列化为paramsJSON后直接通过WebSocket发送给Node，， ，同样没有过滤。。。。。


图片2.jpg


（3）Node端：直接信任params中的审批字段


Node反序列化后的参数中包括审批控制字段，， ，审批判断逻辑直接读取该字段且无任何泉源验证。。。。。当该字段被设为通过状态时，， ，审批检查和白名单校验均被跳过，， ，下令直接执行，， ，用户不会看到任何审批提醒。。。。。


图片3.jpg


误差危害


该误差允许任何经由Gateway身份认证的用户在未经Node主机所有者批准的情形下，， ，远程执行恣意Shell下令。。。。。攻击者可借此：


    ? 完全控制Node装备：读取、改动或删除 Node 主机上的恣意文件。。。。。

    ? 窃取敏感数据：获取Node设惫亓凭证、密钥、隐私文件等。。。。。

    ? 横向移动：以Node主机为跳板，， ，进一步渗透所在网络的其他系统。。。。。

    ? 长期化驻留：植入后门程序或准时使命，， ，维持对Node装备的恒久会见。。。。。


误差复现


图片4.jpg


清静建议


（1）连忙升级


OpenClaw官方已宣布清静通告并宣布了修复版本，， ，请尽快升级至最新版本。。。。。


（2）暂时缓解步伐


    ? 确认Gateway未袒露到公网：Gateway默认仅监听本机（127.0.0.1），， ，确认启动参数中未使用将端口袒露至外部网络的设置。。。。。

    ? 审查历史执行纪录：排查Node主机上是否保存异常的system.run挪用，， ，重点关注未经正常审批流程、直接携带approved: true的请求。。。。。

    ? 最小权限运行：以最低须要权限运行Node历程，， ，阻止使用root或治理员账户，， ，降低下令执行后的影响规模。。。。。


阻止现在，， ，OpenClaw项目中已累计发明283个清静误差。。。。。本文剖析的审批绕过误差是一个典范案例：功效逻辑完整，， ，但未验证"审批效果是否真实来自用户"。。。。。这也反应了AI Agent在清静设计上保存短板：系统往往倾向于信任输入，， ，优先实现功效而忽视了界线条件和清静校验。。。。。特殊是在涉及权限校验、信任界线等清静要害路径时，， ，忽视这些细节可能带来严重的清静危害。。。。。因此，， ，用户在使用AI Agent时应坚持审慎，， ，确保对潜在的清静威胁和误差举行充分的识别与提防。。。。。


参考链接：

[1]https://github.com/advisories/GHSA-gv46-4xfq-jv58

[2]https://nvd.nist.gov/vuln/detail/CVE-2026-28466