平台
nodejs
组件
openclaw
修复版本
2026.2.15
2026.2.14
CVE-2026-26324 是 openclaw 中的服务器端请求伪造 (SSRF) 漏洞。由于 SSRF 保护机制未能正确识别 IPv4 映射的 IPv6 地址，攻击者可以绕过安全检查，从而访问内部网络资源。该漏洞影响 openclaw 的版本低于或等于 2026.2.13。预计将在 2026.2.14 版本中修复。
该 SSRF 漏洞允许攻击者通过构造特殊的 IPv4 映射的 IPv6 地址，绕过 openclaw 的 SSRF 保护机制。攻击者可以利用此漏洞访问内部服务、读取敏感数据，甚至可能进行横向移动。例如，攻击者可以访问内部的元数据服务，获取云服务器的凭据，从而进一步控制系统。由于 SSRF 漏洞通常难以检测，因此可能导致严重的安全风险。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录中。公开的 PoC 尚未发现，但根据漏洞描述，利用难度较低。
Applications utilizing the OpenClaw Node.js package in production environments are at risk. Specifically, deployments that rely on OpenClaw for SSRF protection and expose internal services are particularly vulnerable. Developers using older versions of OpenClaw (<= 2026.2.13) should prioritize upgrading to the patched version.
• nodejs / server:
npm list openclaw• nodejs / server:
npm audit openclaw• generic web:
Review access logs for outbound requests containing IPv4-mapped IPv6 literals (e.g., 0:0:0:0:0:ffff:7f00:1).
• generic web:
Monitor application logs for unusual outbound requests to internal resources.
disclosure
漏洞利用状态
EPSS
0.02% (4% 百分位)
CISA SSVC
为了缓解 CVE-2026-26324 的风险，建议立即升级到 openclaw 2026.2.14 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，阻止包含 IPv4 映射 IPv6 地址的请求。此外，应审查 openclaw 的配置，确保其遵循最佳安全实践，并定期进行安全审计。
将 OpenClaw 更新到 2026.2.14 或更高版本。此版本修复了允许通过 IPv4 映射 IPv6 字面量绕过保护的 SSRF 漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-26324 是 openclaw 库中的服务器端请求伪造 (SSRF) 漏洞，允许攻击者绕过 SSRF 保护机制访问内部资源。
如果您正在使用 openclaw 的版本低于或等于 2026.2.13，则可能受到此漏洞的影响。
升级到 openclaw 2026.2.14 或更高版本以修复此漏洞。
目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。
请访问 openclaw 的 GitHub 仓库或 npm 官方网站获取更多信息。
CVSS 向量