OpenClaw क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) से प्रभावित है लूपबैक ब्राउज़र म्यूटेशन एंडपॉइंट्स के माध्यम से

CVE-2026-26317 के कारण, एक दुर्भावनापूर्ण वेबसाइट एक पीड़ित के स्थानीय OpenClaw ब्राउज़र नियंत्रण प्लेन के खिलाफ अनधिकृत राज्य परिवर्तन को ट्रिगर कर सकती है। इसमें टैब खोलना, ब्राउज़र को शुरू/बंद करना या स्टोरेज/कुकीज़ को बदलना शामिल हो सकता है। लूपबैक बाइंडिंग दूरस्थ जोखिम को कम करता है, लेकिन पीड़ित के ब्राउज़र संदर्भ में दुर्भावनापूर्ण मूल से ब्राउज़र-आरंभित अनुरोधों को रोकने से नहीं रोकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि यह ब्राउज़र के भीतर से शुरू किए गए हमलों की अनुमति देती है, जिससे सुरक्षा उपायों को बायपास करना आसान हो जाता है।

Organizations and developers utilizing OpenClaw for automated browser testing, web scraping, or other browser control tasks are at risk. Specifically, those using OpenClaw in environments where users frequently browse untrusted websites or are susceptible to social engineering attacks are particularly vulnerable. Shared hosting environments where multiple applications share the same Node.js instance could also amplify the risk.

• nodejs: Monitor for unusual browser activity originating from external websites. Use ps aux | grep openclaw to identify running OpenClaw processes. Examine Node.js application logs for suspicious requests to OpenClaw endpoints. • generic web: Inspect browser developer tools network requests for unexpected POST requests to OpenClaw endpoints. Check browser extensions for potentially malicious code. • generic web: Review CSP headers to ensure they are properly configured to restrict cross-origin requests.

1. 2026-02-18Disclosure

   disclosure

1. आरक्षित2026-02-13
2. प्रकाशित2026-02-18
3. संशोधित2026-02-20
4. EPSS अद्यतन2026-03-23

CVE-2026-26317 को कम करने के लिए, openclaw को 2026.2.14 या बाद के संस्करण में तुरंत अपडेट करें। यदि अपग्रेड करना संभव नहीं है, तो उत्पत्ति/रेफरर सत्यापन को लागू करने के लिए एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करने पर विचार करें। इसके अतिरिक्त, सुनिश्चित करें कि OpenClaw ब्राउज़र नियंत्रण सेवा केवल लूपबैक इंटरफ़ेस पर बाध्य है और बाहरी नेटवर्क से दुर्गम है। नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग भी इस भेद्यता की पहचान करने और उसे कम करने में मदद कर सकते हैं। अपडेट के बाद, यह सत्यापित करें कि उत्पत्ति/रेफरर सत्यापन ठीक से काम कर रहा है और अनधिकृत अनुरोधों को अवरुद्ध कर रहा है।