CVE-2026-34504：OpenClaw SSRF漏洞，版本0–2026.3.28

OpenClaw中的CVE-2026-34504影响了'fal'提供商，允许受损的relay执行对内部URL的原始获取（fetches）。此前，'fal'提供商对提供商API流量和返回的图像下载URL都使用了未经过SSRF（服务器端请求伪造）保护的获取路径。这意味着攻击者可能能够操纵'fal'relay来获取内部资源，从而可能通过图像管道公开敏感的元数据或内部服务响应。此漏洞可能被利用来获取机密信息或在基础设施内部执行未经授权的操作。

Organizations utilizing OpenClaw for image generation and processing are at risk, particularly those with complex internal network architectures or those who have not implemented robust network segmentation. Environments where the fal relay has broad access to internal services are at higher risk. Shared hosting environments using OpenClaw should be especially vigilant.

• nodejs / server:

  journalctl -u openclaw | grep -i "fal provider" -i "image fetch"

• generic web:

  curl -I <openclaw_endpoint> | grep -i "X-Powered-By"

• generic web:

  grep -r "fal: guard image fetches" /path/to/openclaw/source/code

1. 2026-04-01Disclosure

   disclosure

1. 已保留2026-03-30
2. 发布日期2026-04-01
3. 修改日期2026-04-06
4. EPSS 更新日期2026-04-08

为了减轻此漏洞，建议将OpenClaw更新到2026.3.28或更高版本。此版本通过为与'fal'提供商相关的所有请求实施SSRF保护的获取路径来修复此问题。此外，请审查'fal'relay的配置，以确保它仅具有访问必要资源的权限，并且已正确隔离于内部网络。监控网络流量以查找可疑模式也可以帮助检测和防止潜在攻击。更新是最有效和推荐的解决方案。