OpenClaw में कई गंभीर कमजोरियाँ खोजी गई हैं, जो संभावित रूप से रिमोट कोड निष्पादन और विशेषाधिकार वृद्धि का कारण बन सकती हैं। ये कमजोरियाँ 2026.3.11 से पहले के संस्करणों को प्रभावित करती हैं। इन जोखिमों को कम करने के लिए तत्काल पैचिंग की दृढ़ता से सलाह दी जाती है।
इन CVE में गंभीर गंभीरता स्कोर हैं, जो शोषण और सिस्टम समझौते के उच्च जोखिम का संकेत देते हैं।
Openclaw क्या है?
CVE-2026-28466: नोड इनवोक अप्रूवल बाईपास के माध्यम से रिमोट कोड निष्पादन
गंभीर गंभीरता: न्यूनतम पूर्वापेक्षाओं के साथ रिमोट कोड निष्पादन।
0.099 का EPSS स्कोर शोषण की मध्यम संभावना को इंगित करता है।
यह भेद्यता वैध गेटवे क्रेडेंशियल्स वाले हमलावरों को system.run कमांड के लिए exec अनुमोदन गेटिंग को बायपास करने की अनुमति देती है। अनुमोदन नियंत्रण फ़ील्ड इंजेक्ट करके, हमलावर कनेक्टेड नोड होस्ट पर मनमाना कमांड निष्पादित कर सकते हैं।
Openclaw में CVE-2026-28466 को कैसे ठीक करें
तुरंत पैच करें- 1.OpenClaw को संस्करण 2026.2.14 या बाद के संस्करण में अपडेट करें।
composer update openclawसमाधान: कोई ज्ञात समाधान नहीं।
NextGuard स्वचालित रूप से CVE-2026-28466 को चिह्नित करता है यदि Openclaw आपकी किसी भी निगरानी वाली परियोजना में दिखाई देता है - किसी मैनुअल लुकअप की आवश्यकता नहीं है।
CVE-2026-28470: डबल कोट्स में कमांड सब्स्टिट्यूशन के माध्यम से एक्सेक अलोलिस्ट बाईपास
गंभीर गंभीरता: अलोलिस्ट बाईपास के माध्यम से मनमाना कमांड निष्पादन की अनुमति देता है।
0.092 का EPSS स्कोर शोषण की मध्यम संभावना को इंगित करता है।
यह भेद्यता हमलावरों को डबल-कोटेड स्ट्रिंग्स के भीतर कमांड सब्स्टिट्यूशन सिंटैक्स इंजेक्ट करके exec अनुमोदन अलोलिस्ट को बायपास करने की अनुमति देती है। हमलावर अनधिकृत कमांड निष्पादित करने के लिए अनएस्केप्ड $() या बैकटिक एम्बेड कर सकते हैं।
Openclaw में CVE-2026-28470 को कैसे ठीक करें
तुरंत पैच करें- 1.OpenClaw को संस्करण 2026.2.2 या बाद के संस्करण में अपडेट करें।
composer update openclawसमाधान: exec अनुमोदन अक्षम करें या कमांड सब्स्टिट्यूशन को रोकने के लिए इनपुट को सावधानीपूर्वक सैनिटाइज करें।
NextGuard स्वचालित रूप से CVE-2026-28470 को चिह्नित करता है यदि Openclaw आपकी किसी भी निगरानी वाली परियोजना में दिखाई देता है - किसी मैनुअल लुकअप की आवश्यकता नहीं है।
CVE-2026-32922: device.token.rotate में अमान्य स्कोप के माध्यम से विशेषाधिकार वृद्धि
गंभीर गंभीरता: व्यवस्थापक स्तर तक विशेषाधिकार वृद्धि की अनुमति देता है।
0.214 का EPSS स्कोर शोषण की अपेक्षाकृत उच्च संभावना को इंगित करता है।
यह भेद्यता ऑपरेटर.पेयरिंग स्कोप वाले हमलावरों को व्यापक स्कोप के साथ टोकन बनाने की अनुमति देती है। नए बनाए गए स्कोप को बाधित करने में विफल रहने से, हमलावर युग्मित उपकरणों के लिए ऑपरेटर.एडमिन टोकन प्राप्त कर सकते हैं।
Openclaw में CVE-2026-32922 को कैसे ठीक करें
तुरंत पैच करें- 1.OpenClaw को संस्करण 2026.3.11 या बाद के संस्करण में अपडेट करें।
composer update openclawसमाधान: device.token.rotate API तक पहुंच प्रतिबंधित करें और स्कोप को सावधानीपूर्वक मान्य करें।
NextGuard स्वचालित रूप से CVE-2026-32922 को चिह्नित करता है यदि Openclaw आपकी किसी भी निगरानी वाली परियोजना में दिखाई देता है - किसी मैनुअल लुकअप की आवश्यकता नहीं है।
अन्य कमजोरियों से आगे रहें
अपनी अन्य निर्भरताओं में कमजोरियों को सक्रिय रूप से पहचानें और ठीक करें। संभावित शोषण को रोकने के लिए अपनी अन्य निर्भरताओं की निगरानी करें।
योजनाओं की तुलना करेंअक्सर पूछे जाने वाले प्रश्न
ये कमजोरियाँ OpenClaw परिनियोजनों के लिए एक महत्वपूर्ण जोखिम पैदा करती हैं। सुनिश्चित करें कि आपने आवश्यक पैच लागू कर दिए हैं और एक सुरक्षित वातावरण बनाए रखने के लिए अन्य सभी कमजोरियों को देखना जारी रखें। अपनी निर्भरताओं की नियमित निगरानी करना महत्वपूर्ण है।
संबंधित विषय