UNKNOWNGHSA-9jpj-g8vv-j5mf
OpenClaw OAuth PKCE漏洞，版本<2026.4.2，CVSS 7.5
平台
nodejs
组件
openclaw
已修复版本
2026.4.2
GHSA-9jpj-g8vv-j5mf 是 OpenClaw 中的一个 OAuth PKCE 漏洞。在 OpenClaw 2026.4.2 之前的版本中，Gemini OAuth 流程将 PKCE 验证器重用为 OAuth `state` 值。由于提供程序在重定向 URL 中反映了 `state`，因此验证器可能与授权码一起暴露。攻击者可以捕获重定向 URL，获取授权码和 PKCE 验证器，从而绕过 PKCE 的拦截保护。受影响的版本包括 2026.4.1 及更早版本。此问题已在 2026.4.2 版本中修复。
修复方法
暂无官方补丁。请查找临时解决方案或持续关注更新。
常见问题
GHSA-9jpj-g8vv-j5mf 是什么？
GHSA-9jpj-g8vv-j5mf 是 OpenClaw 中的一个 OAuth PKCE 漏洞，攻击者可以利用重定向 URL 窃取授权码和 PKCE 验证器。
我是否受到 GHSA-9jpj-g8vv-j5mf 的影响？
如果您的 OpenClaw 版本低于 2026.4.2，并且使用了 Gemini OAuth 流程，那么您可能受到此漏洞的影响。
如何修复 GHSA-9jpj-g8vv-j5mf？
将 OpenClaw 升级到 2026.4.2 或更高版本可以修复此漏洞。升级后，OpenClaw 将不再重用 PKCE 验证器作为 OAuth `state` 值，从而防止攻击者窃取授权码和验证器。