CVE-2026-28472: WebSocket Auth Bypass in openclaw
Plattform
nodejs
Komponente
openclaw
Behoben in
2026.2.2
CVE-2026-28472 impacts openclaw versions prior to 2026.2.2. This vulnerability resides within the gateway WebSocket connect handshake process, allowing attackers to bypass device identity checks. The flaw arises from validating the presence of an authentication token rather than its actual validation. A patch is available in version 2026.2.2, addressing this critical security concern.
Auswirkungen und Angriffsszenarien
The impact of CVE-2026-28472 is significant, potentially allowing unauthorized access to systems protected by openclaw's gateway WebSocket. An attacker can bypass device identity checks by simply including a non-empty auth.token parameter during the WebSocket connection handshake, without requiring a valid shared secret. This could lead to data breaches, system compromise, and unauthorized control of connected devices. The blast radius encompasses any system relying on the vulnerable gateway WebSocket for authentication.
Ausnutzungskontext
CVE-2026-28472 was published on 2026-02-17. Exploitation context is currently unknown, and no public proof-of-concept (POC) exploits have been identified. The CVSS score of 9.8 (CRITICAL) indicates a high probability of exploitation if the vulnerability is discovered and exploited. Monitor security advisories and threat intelligence feeds for any updates regarding active exploitation campaigns.
Bedrohungsanalyse
Exploit-Status
EPSS
0.05% (17% Perzentil)
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
- Privileges Required
- Keine — ohne Authentifizierung ausnutzbar. Keine Zugangsdaten erforderlich.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
- Confidentiality
- Hoch — vollständiger Vertraulichkeitsverlust. Angreifer kann alle Daten lesen.
- Integrity
- Hoch — Angreifer kann beliebige Daten schreiben, ändern oder löschen.
- Availability
- Hoch — vollständiger Absturz oder Ressourcenerschöpfung. Totaler Denial of Service.
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Veröffentlicht
- Geändert
- EPSS aktualisiert
Mitigation und Workarounds
The primary mitigation for CVE-2026-28472 is to upgrade openclaw to version 2026.2.2 or later. Until the upgrade is possible, implement stricter validation of the auth.token parameter, ensuring that it is properly authenticated against a shared secret. Review and strengthen WebSocket connection security policies. Consider implementing rate limiting to prevent brute-force attempts to bypass authentication. After upgrading, verify the fix by attempting to connect to the gateway WebSocket without providing a valid authentication token and confirming that the connection is rejected.
So behebenwird übersetzt…
Actualice OpenClaw a la versión 2026.2.2 o posterior. Esta versión corrige la vulnerabilidad que permite omitir la verificación de la identidad del dispositivo durante el handshake de conexión WebSocket del gateway.
Häufig gestellte Fragen
Was ist CVE-2026-28472 in openclaw?
It's a CRITICAL vulnerability in openclaw allowing attackers to bypass device identity checks via a WebSocket handshake flaw.
Bin ich von CVE-2026-28472 in openclaw betroffen?
If you're using openclaw versions prior to 2026.2.2, you are vulnerable. Upgrade immediately.
Wie behebe ich CVE-2026-28472 in openclaw?
Upgrade openclaw to version 2026.2.2 or later. Implement stricter authentication validation as a temporary workaround.
Wird CVE-2026-28472 aktiv ausgenutzt?
Currently, there are no known active exploitation campaigns, but the high CVSS score suggests a potential risk.
Wo finde ich den offiziellen openclaw-Hinweis für CVE-2026-28472?
Refer to the official openclaw security advisory and the NVD entry for CVE-2026-28472.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Jetzt testen — kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...