【复现】OpenClaw远程代码执行误差（CVE-2026-28466）

宣布时间 2026-03-13

OpenClaw依附其富厚的功效和无邪性，，，，在2026年成为开源人工智能署理生态系统中的明星项目。。。。作为一个谈天机械人平台，，，，OpenClaw允许用户通过Web界面或即时通讯平台下达自然语言指令，，，，完成邮件治理、日历调理、浏览器自动化、文件操作以及shell下令执行等高权限使命。。。。


克日，，，，OpenClaw修复了一个CVSS评分为9.4的严重误差CVE-2026-28466，，，，该误差是在Gateway转发node.invoke请求时，，，，未对用户传入的参数做任何过滤，，，，导致经由认证的客户端可以绕过执行审批机制。。。。拥有有用网关凭证的攻击者可以注入审批控制字段，，，，在毗连的节点主机上执行恣意下令，，，，乐成使用将导致完全控制节点主机。。。。凭证网络空间测绘引擎FOFA的数据，，，，阻止2026年3月13日，，，，互联网上保存116,672个潜在的易受攻击OpenClaw实例。。。。


误差形貌


Gateway是OpenClaw的焦点效劳，，，，认真治理所有新闻通道、会话调理和Agent编排，，，，对外提供WebSocket API。。。。Node是毗连到Gateway的终端装备（如：macOS/iOS/Android 应用或下令行历程），，，，为系统提供外地执行能力，，，，包括运行Shell下令、操控浏览器、会见摄像头等装备功效。。。。Gateway通过node.invoke将执行请求发送到目的Node，，，，Node在外地完成执行后将效果回传给Gateway，，，，整个历程通过WebSocket的请求-响应机制完成。。。。


2026.2.14之前版本的OpenClaw中，，，，Gateway在转发node.invoke请求时未对params参数举行过滤，，，，经由身份认证的用户可以在挪用参数中注入approved内部控制字段，，，，绕过Node主机的执行审批机制，，，，通过system.run在Node上执行恣意shell下令。。。。


影响版本


OpenClaw<2026.2.14


误差原理



该误差的根因在于从Gateway到Node的整条挪用链路上，，，，均未对用户可控的参数字段举行校验或过滤。。。。


（1）Gateway端：原样转发，，，，不过滤内部字段


Gateway的node.invoke处置惩罚函数将客户端传入的params直接转达给nodeRegistry.invoke()，，，，未做任何字段剥离。。。。



图片1.jpg


（2）Node Registry：序列化后直接发送


params被序列化为paramsJSON后直接通过WebSocket发送给Node，，，，同样没有过滤。。。。


图片2.jpg


（3）Node端：直接信任params中的审批字段


Node反序列化后的参数中包括审批控制字段，，，，审批判断逻辑直接读取该字段且无任何泉源验证。。。。当该字段被设为通过状态时，，，，审批检查和白名单校验均被跳过，，，，下令直接执行，，，，用户不会看到任何审批提醒。。。。


图片3.jpg


误差危害


该误差允许任何经由Gateway身份认证的用户在未经Node主机所有者批准的情形下，，，，远程执行恣意Shell下令。。。。攻击者可借此：


    ? 完全控制Node装备：读取、改动或删除 Node 主机上的恣意文件。。。。

    ? 窃取敏感数据：获取Node设惫亓凭证、密钥、隐私文件等。。。。

    ? 横向移动：以Node主机为跳板，，，，进一步渗透所在网络的其他系统。。。。

    ? 长期化驻留：植入后门程序或准时使命，，，，维持对Node装备的恒久会见。。。。


误差复现


图片4.jpg


清静建议


（1）连忙升级


OpenClaw官方已宣布清静通告并宣布了修复版本，，，，请尽快升级至最新版本。。。。


（2）暂时缓解步伐


    ? 确认Gateway未袒露到公网：Gateway默认仅监听本机（127.0.0.1），，，，确认启动参数中未使用将端口袒露至外部网络的设置。。。。

    ? 审查历史执行纪录：排查Node主机上是否保存异常的system.run挪用，，，，重点关注未经正常审批流程、直接携带approved: true的请求。。。。

    ? 最小权限运行：以最低须要权限运行Node历程，，，，阻止使用root或治理员账户，，，，降低下令执行后的影响规模。。。。


阻止现在，，，，OpenClaw项目中已累计发明283个清静误差。。。。本文剖析的审批绕过误差是一个典范案例：功效逻辑完整，，，，但未验证"审批效果是否真实来自用户"。。。。这也反应了AI Agent在清静设计上保存短板：系统往往倾向于信任输入，，，，优先实现功效而忽视了界线条件和清静校验。。。。特殊是在涉及权限校验、信任界线等清静要害路径时，，，，忽视这些细节可能带来严重的清静危害。。。。因此，，，，用户在使用AI Agent时应坚持审慎，，，，确保对潜在的清静威胁和误差举行充分的识别与提防。。。。


参考链接：

[1]https://github.com/advisories/GHSA-gv46-4xfq-jv58

[2]https://nvd.nist.gov/vuln/detail/CVE-2026-28466