CVE-2026-28474 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：允许列表验证逻辑缺陷。攻击者通过修改 **Nextcloud 显示名称** 匹配允许列表中的用户 ID，绕过安全限制。 💥 **后果**：获得对 **受限对话** 的未授权访问，导致隐私泄露。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-863（不正确的授权）。 🐛 **缺陷点**：`actor.name` 字段使用了 **相等匹配** 验证，而非更严格的身份标识校验，导致显示名称可被伪造。
Q3影响谁？（版本/组件）
🏢 **厂商**：OpenClaw。 📦 **组件**：nextcloud-talk。 ⚠️ **版本**：**OpenClaw 2026.2.6 之前** 的所有版本。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：绕过访问控制，获得 **未授权访问** 权限。 📂 **数据**：可读取受限对话内容，造成 **高机密性 (C:H)** 和 **高完整性 (I:H)** 风险。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。 🔑 **认证**：无需认证 (PR:N)。 🌐 **网络**：网络可访问 (AV:N)。 🖱️ **交互**：无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：漏洞数据中 **pocs 为空**，暂无公开代码级 PoC。 🌍 **在野**：目前无证据表明存在在野利用，但逻辑简单，利用难度低。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查系统是否为 **OpenClaw < 2026.2.6**。 📝 **特征**：关注 Nextcloud Talk 集成中，是否依赖 `actor.name` (显示名称) 进行权限判断。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：**已修复**。 📅 **时间**：2026-03-05 发布。 🔗 **参考**：GitHub Security Advisory (GHSA-r5h9-vjqc-hq3r) 及 Commit #1。
Q9没补丁咋办？（临时规避）
⏳ **临时规避**：若无法立即升级，建议 **禁用 Nextcloud Talk 集成** 或 **严格限制显示名称修改权限**，防止名称与允许列表 ID 重合。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。 📊 **CVSS**：9.8 (Critical)。 💡 **建议**：立即升级至 **2026.2.6 或更高版本**，此漏洞利用条件几乎为零，风险极高。