OpenClaw WebSocket共享令牌权限提升漏洞
日期：2026-03-17 09:36:11 发布人：信息化建设中心 浏览量：0
一、漏洞概要
漏洞名称 | OpenClaw WebSocket共享令牌权限提升漏洞 |
发布时间 | 2026年3月17日 |
组件名称 | OpenClaw |
影响范围 | OpenClaw ≤ 2026.3.11 |
漏洞类型 | 权限提升 |
利用条件 | 1、用户认证：需要用户认证 2、前置条件：默认配置 3、触发方式：远程 |
综合评价 | <综合评定利用难度>：复杂，需要有普通用户权限。 <综合评定威胁等级>：高危，可造成权限提升。 |
官方解决方案 | 已发布 |
二、漏洞分析
2.1 组件介绍
OpenClaw是github上的开源个人AI代理项目，通过WhatsApp、Telegram、Discord等聊天工具交互，支持本地/云LLM，具备自主执行能力（如浏览器控制、设备操作、邮件/文件处理、语音对话）。用来打造常驻本地、能真正干活的个人AI助手，用于日常自动化、生产力提升和开发者任务。
2.2 漏洞描述
2026年3月17日，深瞳漏洞实验室监测到一则OpenClaw组件存在权限提升漏洞的信息，漏洞威胁等级：高危。
OpenClaw 在使用共享令牌或密码进行 WebSocket 连接认证时，服务端未对客户端自行提交的权限作用域做校验与限制，直接信任并采纳客户端声明的高权限，导致持有普通共享令牌或密码的用户可非法声明管理员权限，实现权限提升。
三、影响范围
目前受影响的OpenClaw版本：
OpenClaw ≤ 2026.3.11
官方修复建议
官方已发布最新版本修复该漏洞，建议受影响用户将OpenClaw更新到2026.3.12及以上版本。