NextGuard
返回博客
CVSS 9.9CVE-2026-28363CVE-2026-28472CVE-2026-32030

OpenClaw 中已修复多个漏洞

OpenClaw 中已修复严重漏洞。包括命令注入、身份验证绕过和文件泄露。立即更新到最新版本！

发布于

在 OpenClaw（一个 nodejs 组件）中发现了多个漏洞，包括命令注入、身份验证绕过和敏感文件泄露。这些漏洞可能允许攻击者执行任意代码、绕过安全检查或访问敏感信息。建议用户更新到最新版本的 OpenClaw 以降低这些风险。

这些漏洞的严重程度各不相同，其中最严重的可能导致远程代码执行。

什么是 Openclaw？

Openclaw 是一个用于 nodejs 的组件，可能在各种应用程序中使用，以提供特定功能。由于它在处理潜在敏感操作方面发挥作用，因此 Openclaw 中的漏洞可能会对依赖它的应用程序产生重大的安全影响。要了解更多信息，您可以搜索所有 openclaw CVE。

CVE-2026-28363：OpenClaw 通过 GNU 长选项缩写绕过验证

CVSS9.9
受影响版本当使用 allowlist 模式并依赖于命令行选项的精确字符串匹配时，2026.2.23 之前的 OpenClaw 版本会受到影响。

严重：允许执行未经授权的命令。

EPSS 得分为 0.036，表明利用的可能性较低。

OpenClaw 的 tools.exec.safeBins 验证对于 sort 可能会通过 allowlist 模式下的 GNU 长选项缩写绕过。这允许了本应需要批准的意外执行路径。

如何在 OpenClaw 中修复 CVE-2026-28363

立即修补
  1. 1.将 OpenClaw 更新到 2026.2.23 或更高版本。
更新 OpenClaw
npm update openclaw

临时解决方案： 避免在 allowlist 模式配置中使用 GNU 长选项缩写。

如果 OpenClaw 出现在您任何受监控的项目中，NextGuard 会自动标记 CVE-2026-28363，无需手动查找。

CVE-2026-28472：OpenClaw 网关连接设备身份检查绕过

CVSS9.8
受影响版本在网关 WebSocket 可访问并且可以通过 Tailscale 授权连接而无需验证共享密钥的部署中，2026.2.1 及更早版本的 OpenClaw 会受到影响。

严重：允许未经授权访问网关。

EPSS 得分为 0.054，表明利用的可能性较低。

如果存在 auth.token 但尚未验证，OpenClaw 中的网关 WebSocket 连接握手可能会跳过设备身份检查。这允许客户端在没有适当的设备身份验证的情况下进行连接。

如何在 OpenClaw 中修复 CVE-2026-28472

立即修补
  1. 1.将 OpenClaw 更新到 2026.2.2 或更高版本。
更新 OpenClaw
npm update openclaw

临时解决方案： 确保网关 WebSocket 只能从受信任的网络和受信任的用户访问。使用 Tailscale Serve 时，限制 Tailnet 用户/ACL。

CVE-2026-32030：OpenClaw 通过 stageSandboxMedia 泄露敏感文件

CVSS7.5
受影响版本当启用 iMessage 附件、远程附件模式处于活动状态并且攻击者可以注入/篡改附件路径元数据时，包括 2026.2.17 在内的 OpenClaw 版本会受到影响。

高：允许泄露敏感文件。

EPSS 得分为 0.068，表明利用的可能性较低。

当启用 iMessage 远程附件获取时，OpenClaw 的 `stageSandboxMedia` 函数接受任意绝对路径，从而导致敏感文件泄露。攻击者可以影响入站附件路径元数据，以泄露远程主机上 OpenClaw 进程可读取的文件。

如何在 OpenClaw 中修复 CVE-2026-32030

7天内打补丁
  1. 1.将 OpenClaw 更新到 2026.2.19 或更高版本。
  2. 2.如果不需要远程附件，请禁用 iMessage 附件提取。
  3. 3.在远程主机上以最小权限运行 OpenClaw。
更新 OpenClaw
npm update openclaw

临时解决方案： 如果不需要远程附件，请禁用 iMessage 附件提取。在远程主机上以最小权限运行 OpenClaw。

CVE-2026-32056：OpenClaw Shell 启动 Env 注入绕过 system.run Allowlist

CVSS7.5
受影响版本2026.2.21-2 及更早版本的 OpenClaw 会受到影响。如果攻击者可以控制 HOME 或 ZDOTDIR 环境变量，则可以利用此漏洞。

高：允许远程代码执行。

EPSS 得分为 0.143，表明利用的可能性中等。

OpenClaw 的 `system.run` 环境清理允许 shell 启动环境覆盖（HOME、ZDOTDIR），从而导致命令注入。攻击者可以通过在 allowlist 评估的命令主体之前控制 shell 启动文件来执行任意代码。

如何在 OpenClaw 中修复 CVE-2026-32056

24 小时内修补
  1. 1.将 OpenClaw 更新到 2026.2.22 或更高版本。
更新 OpenClaw
npm update openclaw

掌握 nodejs 漏洞的最新动态

主动检测和修复 nodejs 项目中的漏洞。使用 NextGuard 监控您的 nodejs 依赖项并接收有关新 CVE 的警报。

比较计划

常见问题

最近的 OpenClaw 版本中已解决多个漏洞。更新到最新版本对于确保应用程序的安全性至关重要。查看所有 nodejs 漏洞。

相关主题

nodejsvulnerabilitysecurityopenclawpatch