CVE-2026-34504：OpenClaw SSRF漏洞，版本0–2026.3.28
平台
nodejs
组件
openclaw
修复版本
2026.3.28
2026.3.28
CVE-2026-34504是OpenClaw 2026.3.28之前的版本中发现的一个服务端请求伪造(SSRF)漏洞。该漏洞允许攻击者利用受损的fal中继，通过图像管道暴露内部服务元数据和响应，从而导致信息泄露。受影响的版本包括0–2026.3.28。此漏洞已在版本2026.3.28中修复。
影响与攻击场景
OpenClaw中的CVE-2026-34504影响了'fal'提供商，允许受损的relay执行对内部URL的原始获取（fetches）。此前，'fal'提供商对提供商API流量和返回的图像下载URL都使用了未经过SSRF（服务器端请求伪造）保护的获取路径。这意味着攻击者可能能够操纵'fal'relay来获取内部资源，从而可能通过图像管道公开敏感的元数据或内部服务响应。此漏洞可能被利用来获取机密信息或在基础设施内部执行未经授权的操作。
利用背景
利用此漏洞需要访问受损的'fal'relay。攻击者可以通过多种方法获得此访问权限，例如注入恶意代码或利用系统中的其他漏洞。一旦攻击者控制了relay，他们就可以使用它来对内部URL执行SSRF请求，从而获取机密信息或执行未经授权的操作。漏洞的严重程度取决于'fal'relay对内部资源的访问权限。
哪些人处于风险中翻译中…
Organizations utilizing OpenClaw for image generation and processing are at risk, particularly those with complex internal network architectures or those who have not implemented robust network segmentation. Environments where the fal relay has broad access to internal services are at higher risk. Shared hosting environments using OpenClaw should be especially vigilant.
检测步骤翻译中…
• nodejs / server:
journalctl -u openclaw | grep -i "fal provider" -i "image fetch"• generic web:
curl -I <openclaw_endpoint> | grep -i "X-Powered-By"• generic web:
grep -r "fal: guard image fetches" /path/to/openclaw/source/code攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.05% (15% 百分位)
CISA SSVC
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
为了减轻此漏洞，建议将OpenClaw更新到2026.3.28或更高版本。此版本通过为与'fal'提供商相关的所有请求实施SSRF保护的获取路径来修复此问题。此外，请审查'fal'relay的配置，以确保它仅具有访问必要资源的权限，并且已正确隔离于内部网络。监控网络流量以查找可疑模式也可以帮助检测和防止潜在攻击。更新是最有效和推荐的解决方案。
修复方法翻译中…
Actualice OpenClaw a la versión 2026.3.28 o posterior. Esto corrige la vulnerabilidad de Server-Side Request Forgery (SSRF) en el proveedor fal, evitando que atacantes puedan acceder a URLs internas a través de la descarga de imágenes.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
CVE-2026-34504 是什么 — openclaw 中的 SSRF？
SSRF（服务器端请求伪造）是一种漏洞，允许攻击者使服务器向服务器不应访问的资源发送请求。在本例中，'fal'relay成为执行这些请求的载体。
openclaw 中的 CVE-2026-34504 是否会影响我？
'fal relay'是OpenClaw的一个组件，负责图像管理和与其他服务的通信。它是图像管道中的一个中心点，因此是潜在的攻击目标。
如何修复 openclaw 中的 CVE-2026-34504？
如果您无法立即更新，请考虑实施其他缓解措施，例如限制'fal'relay的网络访问，并监控网络流量以查找可疑活动。
CVE-2026-34504 是否正在被积极利用？
验证您正在使用的OpenClaw版本。如果您使用的是低于2026.3.28的版本，则会受到此漏洞的影响。
在哪里可以找到 openclaw 关于 CVE-2026-34504 的官方安全通告？
目前没有专门用于检测此漏洞的工具。但是，您可以使用漏洞扫描工具和网络流量分析工具来识别潜在的SSRF攻击。