平台
nodejs
组件
openclaw
修复版本
2026.2.12
CVE-2026-28482 是 OpenClaw 软件中发现的路径遍历漏洞。该漏洞允许经过身份验证的攻击者利用sessionId和sessionFile参数中的路径遍历序列，读取或写入会话目录之外的任意文件，可能导致敏感信息泄露或系统被篡改。受影响的版本包括 OpenClaw 0 到 2026.2.12。已发布补丁版本 2026.2.12。
攻击者可以利用此漏洞读取或写入 OpenClaw 会话目录之外的任意文件。例如，攻击者可以利用 '../' 序列访问系统关键文件，如 /etc/passwd 或 /etc/shadow，从而获取系统用户凭据。此外，攻击者还可以通过写入恶意文件来篡改系统配置或执行恶意代码。由于该漏洞需要身份验证，攻击者通常需要先获得 OpenClaw 系统的访问权限。然而，一旦获得访问权限，攻击者就可以利用此漏洞进行进一步的攻击，例如横向移动到其他系统或窃取敏感数据。该漏洞的潜在影响包括数据泄露、系统被破坏以及未经授权的访问。
该漏洞已于 2026 年 3 月 5 日公开披露。目前尚无公开的利用程序 (PoC)，但由于该漏洞的严重性和易利用性，预计未来可能会出现利用程序。该漏洞已添加到 CISA KEV 目录中，表明其具有中等概率被利用。建议密切关注安全社区的动态，并及时采取缓解措施。
Organizations utilizing OpenClaw for agent management, particularly those with legacy configurations or shared hosting environments, are at risk. Environments where OpenClaw interacts with sensitive data or critical infrastructure are especially vulnerable and should prioritize patching.
disclosure
漏洞利用状态
EPSS
0.02% (4% 百分位)
CISA SSVC
缓解此漏洞的首要措施是立即升级 OpenClaw 至 2026.2.12 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制对 OpenClaw 系统的访问权限，只允许授权用户访问。其次，实施严格的输入验证，确保 sessionId 和 sessionFile 参数不包含任何恶意字符，例如 '../' 序列。第三，配置 Web 应用防火墙 (WAF) 或代理服务器，以拦截和阻止包含路径遍历攻击模式的请求。最后，定期监控 OpenClaw 系统日志，以检测任何可疑活动。升级后，请验证新版本是否已正确安装，并且漏洞已成功修复。
Actualice OpenClaw a la versión 2026.2.12 o posterior. Esta versión corrige las vulnerabilidades de path traversal al sanitizar los parámetros sessionId y sessionFile, previniendo el acceso no autorizado a archivos fuera del directorio de sesiones del agente.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-28482 是 OpenClaw 软件中发现的路径遍历漏洞，允许攻击者读取或写入会话目录外的任意文件。
如果您正在使用 OpenClaw 0 到 2026.2.12 版本，则您可能受到此漏洞的影响。
立即升级 OpenClaw 至 2026.2.12 或更高版本。
目前尚无公开的利用程序，但由于漏洞的严重性，预计未来可能会出现利用程序。
请访问 OpenClaw 官方网站或安全公告页面以获取更多信息。
CVSS 向量