CVE-2026-33575：OpenClaw凭据泄露漏洞 (CVSS 7.5)

CVE-2026-33575 影响 OpenClaw 在 2026.3.12 之前的版本。攻击者如果能够获取泄露的配对设置代码，例如从聊天记录、日志文件或屏幕截图等渠道，就可以恢复并重用嵌入在这些代码中的长期共享网关凭据。这种凭据原本设计用于一次性配对流程，但现在可以被恶意利用。攻击者可能利用这些凭据访问 OpenClaw 系统中的敏感数据，例如用户配置信息、聊天内容，甚至可能控制设备。如果 OpenClaw 系统与其它服务集成，例如云存储或物联网平台，那么攻击者的访问权限可能会进一步扩大，导致更严重的后果。攻击者可以通过这些凭据进行未经授权的访问，甚至可能导致数据泄露、服务中断或设备被恶意控制。由于共享网关凭据长期有效，一旦泄露，风险持续时间较长，需要高度重视。

OpenClaw deployments, particularly those that utilize chat platforms or other communication channels where pairing codes might be inadvertently shared, are at risk. Organizations that have not implemented robust log management practices and access controls are also more vulnerable. Any environment where screenshots or logs containing pairing codes are stored or transmitted are potentially exposed.

1. 2026-03-29Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-03-29
3. 修改日期2026-03-30
4. EPSS 更新日期2026-04-06

解决 CVE-2026-33575 的最佳方法是升级到 OpenClaw 2026.3.12 或更高版本。此版本已经修复了漏洞，不再将长期共享网关凭据嵌入到配对设置代码中。如果无法立即升级，建议采取以下缓解措施：审查所有聊天记录、日志文件和屏幕截图，删除其中包含配对设置代码的内容。如果怀疑凭据已泄露，立即采取措施限制潜在的访问权限。在升级过程中，建议先在测试环境中验证升级包的兼容性，然后再在生产环境中进行升级。升级后，务必重新生成配对设置代码，以确保使用新的、安全的凭据。验证升级是否成功，可以通过重新进行配对流程来确认。