OpenClaw 未授权访问漏洞安全风险通告

漏洞情报

长春市博鸿科技安全测试组

OpenClaw 未授权访问漏洞通告

漏洞概述

漏洞简介

2026年3月31日，博鸿科技安全团队检测到OpenClaw 未授权访问漏洞。OpenClaw是一款面向自动化任务执行与智能代理调度的开源平台，支持通过命令驱动方式管理任务执行、系统配置及调试流程。系统具备插件扩展能力、权限控制机制及多角色协作能力，广泛应用于自动化运维、AI Agent调度及复杂工作流编排等场景。

漏洞描述及危害

该漏洞源于/config与/debug等敏感命令接口在实现过程中仅校验调用方是否具备command-authorized权限，而未进一步验证是否为owner身份，导致权限控制逻辑缺失。攻击者可利用该缺陷，通过具备基础命令执行权限的账号访问本应仅限owner的配置与调试接口，读取或篡改系统关键配置参数，甚至获取敏感调试信息。该漏洞可能被用于权限提升、系统配置篡改及进一步攻击链构建，影响系统完整性与保密性，并可能违反相关数据安全与合规要求，对组织业务安全造成较大风险。

漏洞信息

漏洞名称

OpenClaw 未授权访问漏洞

漏洞等级

高危

漏洞编号

CVE-2026-32914

漏洞类型

未授权访问

披漏时间

2026年3月31日

CVSS3评分

8.7

漏洞状态

PoC/EXP公开

未公开

利用情况

N/A

所需权限

N/A

攻击难度

低

影响范围及建议

影响范围

openclaw <= 2026.3.11

安全建议

目前官方已发布新版本修复该漏洞，请受影响的用户尽快升级进行防护,下载链接：

https://github.com/openclaw/openclaw/releases/

参考链接

https://github.com/openclaw/openclaw/security/advisories/GHSA-r7vr-gr74-94p8/

https://nvd.nist.gov/vuln/detail/CVE-2026-32914