OpenClaw < 2026.3.28 - fal 提供程序中由于未受保护的图像下载导致的服务器端请求伪造 (Server-Side Request Forgery)

OpenClaw 2026.3.28 之前的版本在 fal 提供程序的 image-generation-provider.ts 组件中包含一个服务器端请求伪造漏洞，该漏洞允许攻击者获取内部 URL。恶意或受损的 fal 中继可以利用未受保护的图像下载获取来通过图像管道暴露内部服务元数据和响应。