【复现】OpenClaw远程代码执行误差（CVE-2026-28466）
宣布时间 2026-03-13OpenClaw依附其富厚的功效和无邪性，在2026年成为开源人工智能代理生态系统中的明星项目。作为一个谈天机械人平台，OpenClaw允许用户通过Web界面或即时通讯平台下达自然语言指令，完成邮件管理、日历调理、浏览器自动化、文件操作以及shell下令执行等高权限使命。
克日，OpenClaw修复了一个CVSS评分为9.4的严重误差CVE-2026-28466，该误差是在Gateway转发node.invoke请求时，未对用户传入的参数做任何过滤，导致经由认证的客户端可以绕过执行审批机制。拥有有用网关凭证的攻击者可以注入审批控制字段，在毗连的节点主机上执行恣意下令，乐成使用将导致完全控制节点主机。凭证网络空间测绘引擎FOFA的数据，阻止2026年3月13日，互联网上保存116,672个潜在的易受攻击OpenClaw实例。
误差形貌
Gateway是OpenClaw的焦点服务，认真管理所有新闻通道、会话调理和Agent编排，对外提供WebSocket API。Node是毗连到Gateway的终端装备（如：macOS/iOS/Android 应用或下令行历程），为系统提供外地执行能力，包括运行Shell下令、操控浏览器、会见摄像头等装备功效。Gateway通过node.invoke将执行请求发送到目的Node，Node在外地完成执行后将效果回传给Gateway，整个历程通过WebSocket的请求-响应机制完成。
2026.2.14之前版本的OpenClaw中，Gateway在转发node.invoke请求时未对params参数举行过滤，经由身份认证的用户可以在挪用参数中注入approved内部控制字段，绕过Node主机的执行审批机制，通过system.run在Node上执行恣意shell下令。
影响版本
OpenClaw<2026.2.14
误差原理
该误差的根因在于从Gateway到Node的整条挪用链路上，均未对用户可控的参数字段举行校验或过滤。
（1）Gateway端：原样转发，不过滤内部字段
Gateway的node.invoke处置惩罚函数将客户端传入的params直接转达给nodeRegistry.invoke()，未做任何字段剥离。
（2）Node Registry：序列化后直接发送
params被序列化为paramsJSON后直接通过WebSocket发送给Node，同样没有过滤。
（3）Node端：直接信任params中的审批字段
Node反序列化后的参数中包括审批控制字段，审批判断逻辑直接读取该字段且无任何泉源验证。当该字段被设为通过状态时，审批检查和白名单校验均被跳过，下令直接执行，用户不会看到任何审批提醒。
误差危害
该误差允许任何经由Gateway身份认证的用户在未经Node主机所有者批准的情形下，远程执行恣意Shell下令。攻击者可借此：
? 完全控制Node装备：读取、改动或删除 Node 主机上的恣意文件。
? 窃取敏感数据：获取Node设惫亓凭证、密钥、隐私文件等。
? 横向移动：以Node主机为跳板，进一步渗透所在网络的其他系统。
? 长期化驻留：植入后门程序或准时使命，维持对Node装备的恒久会见。
误差复现
清静建议
（1）连忙升级
OpenClaw官方已宣布清静通告并宣布了修复版本，请尽快升级至最新版本。
（2）暂时缓解步伐
? 确认Gateway未袒露到公网：Gateway默认仅监听本机（127.0.0.1），确认启动参数中未使用将端口袒露至外部网络的设置。
? 审查历史执行纪录：排查Node主机上是否保存异常的system.run挪用，重点关注未经正常审批流程、直接携带approved: true的请求。
? 最小权限运行：以最低须要权限运行Node历程，阻止使用root或管理员账户，降低下令执行后的影响规模。
阻止现在，OpenClaw项目中已累计发明283个清静误差。本文剖析的审批绕过误差是一个典范案例：功效逻辑完整，但未验证"审批效果是否真实来自用户"。这也反应了AI Agent在清静设计上保存短板：系统往往倾向于信任输入，优先实现功效而忽视了界线条件和清静校验。特殊是在涉及权限校验、信任界线等清静要害路径时，忽视这些细节可能带来严重的清静危害。因此，用户在使用AI Agent时应坚持审慎，确保对潜在的清静威胁和误差举行充分的识别与提防。
参考链接：
[1]https://github.com/advisories/GHSA-gv46-4xfq-jv58
[2]https://nvd.nist.gov/vuln/detail/CVE-2026-28466
京公网安备11010802024551号