CVE-2026-43566 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：OpenClaw 心跳逻辑存在缺陷，导致**特权升级**。📉 **后果**：攻击者通过不可信 Webhook 唤醒，在应降级时**保留所有者权限**，彻底破坏安全边界。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-184**：不当行为列表中的**不当行为**。🐛 **缺陷点**：**心跳所有者降级逻辑**被绕过。系统错误地跳过了对携带不可信内容的 Webhook 唤醒事件的严格检查。
Q3影响谁？（版本/组件）
📦 **厂商**：OpenClaw。📅 **版本**：**2026.4.7 之前**的所有版本（即 < 2026.4.14）。⚠️ 2026.4.14 及之后版本已修复。
Q4黑客能干啥？（权限/数据）
👑 **权限**：从普通用户/服务账户**提权至所有者**。💾 **数据**：CVSS 评分显示 **C:H**（机密性高）和 **I:H**（完整性高），意味着可**完全控制**数据并篡改系统。
Q5利用门槛高吗？（认证/配置）
📶 **门槛低**：CVSS 向量显示 **AV:N**（网络可攻击）、**AC:L**（攻击复杂度低）、**PR:N**（无需权限）、**UI:N**（无需用户交互）。🎯 **远程即可利用**，无需认证。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **无现成 Exp**：数据中 `pocs` 字段为空。📜 **参考**：仅有 GitHub 安全公告 (GHSA) 和 VulnCheck 报告，暂无公开 PoC 或确认的在野利用。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 OpenClaw 版本是否 **< 2026.4.14**。📡 **监控**：审计日志中异常的 **Webhook 唤醒事件**，特别是那些携带不可信内容且未触发降级的记录。
Q8官方修了吗？（补丁/缓解）
✅ **已修复**：官方已发布补丁。🔗 **补丁提交**：Commit `31281bc92f55796817a92bc43f722cba1e77ab42`。📅 **发布日期**：2026-05-05。请立即升级至 **2026.4.14** 或更高版本。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：若无法立即升级，建议**限制 Webhook 入口**的访问权限，仅允许可信源。🚫 **禁用**不必要的 Webhook 唤醒功能，或实施严格的输入验证中间件。
Q10急不急？（优先级建议）
🔥 **优先级：高**。📈 **CVSS**：向量显示高严重性（C:H, I:H）。🚀 **建议**：由于无需认证且利用简单，建议**立即修补**，防止远程攻击者获取最高权限。