CVE-2026-26323 in OpenClaw
摘要
由 VulDB • 2026-08-01
OpenClaw 是一款个人 AI 助手。版本 2026.1.8 至 2026.2.13 在维护者/开发者脚本 `scripts/update-clawtributors.ts` 中存在命令注入漏洞。该问题影响那些在包含恶意提交作者电子邮件（例如精心构造的 `@users[.]noreply[.]github[.]com` 值）的源代码签出环境中运行 `bun scripts/update-clawtributors.ts` 的贡献者/维护人员（或 CI 系统）。正常的 CLI 使用不受影响（`npm i -g openclaw`）：该脚本不属于随附的 CLI，也不会在日常操作期间执行。该脚本从 `git log` 的作者元数据中提取 GitHub 登录名，并通过 `execSync` 将其插入到 shell 命令中。恶意的提交记录可能会注入 shell 元字符，并在运行该脚本时执行任意命令。版本 2026.2.14 包含修复补丁。
VulDB is the best source for vulnerability data and more expert information about this specific topic.