CVE-2026-28466 — 神龙十问 AI 深度分析摘要

🚨 **本质**：网关未清理 `node.invoke` 参数中的内部批准字段。 🔥 **后果**：攻击者可绕过执行批准门控，直接触发敏感操作。

🛡️ **CWE**：CWE-863 (不正确的授权)。 🔍 **缺陷点**：输入验证缺失，未过滤内部状态字段。

📦 **产品**：OpenClaw (智能人工助理)。 📅 **版本**：2026.2.14 之前的所有版本。

💥 **权限**：具有有效网关凭据的攻击者。 📊 **数据**：可执行未授权代码/操作，完全破坏完整性与可用性。

⚡ **门槛**：低。 🔑 **条件**：仅需持有**有效网关凭据**，无需用户交互 (UI:N)。

🧪 **Exp**：暂无公开 PoC (pocs: [])。 🌍 **在野**：目前无证据表明在野利用。

🔎 **自查**：检查网关日志中 `node.invoke` 调用。 🔍 **特征**：查找包含内部批准字段的异常请求参数。

✅ **已修**：官方已发布补丁。 🔗 **参考**：GitHub Security Advisory (GHSA-gv46-4xfq-jv58) 及多个 Commit。

🛑 **规避**：升级至 **v2026.2.14** 或更高版本。 🚫 **临时**：若无补丁，严格限制网关凭据访问权限。

🔴 **优先级**：高 (CVSS 9.8)。 ⚠️ **建议**：立即升级，防止未授权执行风险。