OpenClaw 受 Tlon (Urbit) 可选扩展认证中的 SSRF 影响

该 SSRF 漏洞的影响取决于 OpenClaw 部署是否安装和配置了 Tlon (Urbit) 扩展，以及攻击者是否能够影响配置的 Urbit URL。如果满足这些条件，攻击者可以利用此漏洞向攻击者控制的外部或内部主机发送 HTTP 请求。这可能导致攻击者访问内部资源，例如数据库、管理界面或其他敏感服务。攻击者还可以利用此漏洞执行其他攻击，例如端口扫描或拒绝服务攻击。由于 OpenClaw 运行在 Node.js 环境中，潜在的攻击面可能包括与 Urbit 扩展交互的任何其他 Node.js 组件。

Organizations deploying OpenClaw with the Tlon (Urbit) extension enabled are at risk. This includes those using OpenClaw for custom applications or integrations where the Urbit URL is not carefully controlled. Shared hosting environments where users can configure extensions pose a heightened risk.

• nodejs: Monitor OpenClaw logs for unusual outbound HTTP requests, particularly those originating from the Tlon (Urbit) extension. Use lsof or netstat to identify processes making connections to unexpected destinations.

lsof -i | grep claw

• generic web: Examine access logs for requests to internal resources that should not be accessible from the outside. Check response headers for signs of SSRF exploitation.

grep "internal.domain.com" /var/log/nginx/access.log

1. 2026-03-05Disclosure

   disclosure

1. 已保留2026-02-27
2. 发布日期2026-03-05
3. 修改日期2026-03-09
4. EPSS 更新日期2026-03-23

为了减轻 CVE-2026-28476 的影响，建议立即升级到 2026.2.14 或更高版本。如果无法立即升级，可以考虑以下缓解措施：首先，禁用 Tlon (Urbit) 扩展，除非绝对需要。其次，如果必须使用该扩展，请确保 Urbit URL 来自可信来源，并进行严格的输入验证。此外，可以配置防火墙或代理服务器，以阻止 OpenClaw 网关向未经授权的主机发送 HTTP 请求。监控 OpenClaw 日志，查找任何异常的 HTTP 请求，并及时采取行动。