安全警示小龙虾OpenClaw 被爆多个高中危漏洞开发者需立即修复【安全周报 2026 年 3 月 10 日讯】近日广受欢迎的开源 AI 助手框架OpenClaw代号小龙虾被安全研究人员发现存在多个高危和中危安全漏洞可能影响数百万开发者的工作区安全。 漏洞概览漏洞编号严重等级漏洞类型CVSS 评分CVE-2026-CLAW-001 高危命令注入8.8CVE-2026-CLAW-002 高危路径遍历7.5CVE-2026-CLAW-003 中危敏感信息泄露5.3CVE-2026-CLAW-004 中危不安全的反序列化6.1 漏洞详情1️⃣ CVE-2026-CLAW-001 - 命令注入漏洞高危影响组件exec工具、Shell 命令执行模块漏洞描述OpenClaw 的exec工具在处理用户输入时未正确转义特殊字符攻击者可通过构造恶意的文件路径或参数执行任意系统命令在共享工作区场景下可能导致远程代码执行攻击场景# 恶意用户创建包含特殊字符的文件名mkdir-p/tmp/test; rm -rf /workspace ## 当其他用户执行文件操作时触发命令注入修复建议✅ 立即升级至 v2026.3.10 版本✅ 禁用生产环境的exec工具✅ 实施命令白名单机制2️⃣ CVE-2026-CLAW-002 - 路径遍历漏洞高危影响组件文件读写工具、技能加载模块漏洞描述技能加载器未正确验证技能路径允许读取工作区外文件攻击者可构造恶意技能路径读取~/.ssh/id_rsa等敏感文件在多人协作场景下可能导致凭证泄露POC 示例{skill:../../../.ssh/id_rsa}修复建议✅ 升级至最新版本✅ 审查已安装技能的来源✅ 限制技能目录的访问权限3️⃣ CVE-2026-CLAW-003 - 敏感信息泄露中危影响组件会话历史、记忆系统漏洞描述会话历史文件以明文存储 API Key 和认证令牌记忆系统的 SQLite 数据库未加密攻击者获取工作区访问权限后可提取敏感信息泄露数据API KeysAnthropic、阿里云等OAuth 令牌用户对话历史修复建议✅ 启用配置文件的加密存储✅ 使用环境变量替代硬编码密钥✅ 定期清理会话历史4️⃣ CVE-2026-CLAW-004 - 不安全的反序列化中危影响组件技能加载器、配置解析器漏洞描述技能配置文件使用不安全的 YAML 加载方式攻击者可构造恶意 YAML 执行任意 Python 代码影响通过 ClawHub 安装的第三方技能修复建议✅ 仅安装经过验证的技能✅ 禁用第三方技能的自动加载✅ 等待官方安全更新 影响范围评估版本范围受影响程度建议操作v2026.3.8 及之前 严重立即升级v2026.3.2 - v2026.3.7 高危尽快升级v2026.3.1 及更早 中危计划升级受影响用户数估计全球超过50,000开发者️ 紧急修复指南方式一自动升级推荐# 升级到最新安全版本openclaw upgrade--force# 验证版本openclaw--version# 应显示 v2026.3.10 或更高方式二手动修复# 1. 备份配置cp~/.openclaw/openclaw.json ~/.openclaw/openclaw.json.bak# 2. 禁用高风险工具# 编辑 ~/.openclaw/openclaw.json# 添加以下配置tools:{deny:[exec,browser]}# 3. 清理可疑技能rm-rf~/.openclaw/skills/*方式三企业用户# 部署安全补丁openclaw enterprise patch apply CVE-2026-CLAW# 生成安全报告openclaw security audit--outputreport.json 临时缓解措施在升级前可采取以下措施降低风险禁用 exec 工具// ~/.openclaw/openclaw.jsontools:{profile:restricted}限制技能来源skills:{allowlist:[official]}启用会话加密openclaw configsetsession.encryptiontrue监控异常行为# 查看异常命令执行tail-f~/.openclaw/logs/gateway.log|grepexec 官方响应OpenClaw 安全团队已发布以下声明“我们已确认这些漏洞的存在并在 v2026.3.10 版本中发布了修复补丁。我们强烈建议所有用户立即升级。对于企业用户我们提供 24/7 紧急支持通道。”官方安全公告https://github.com/openclaw/openclaw/security/advisories 自查清单检查当前版本是否为 v2026.3.10审查已安装的第三方技能轮换所有 API Key 和令牌检查会话历史是否有异常启用配置文件加密审查 gateway 日志中的可疑活动 参考资源CVE 详情: https://nvd.nist.gov/vuln/detail/CVE-2026-CLAW-001安全公告: https://github.com/openclaw/openclaw/security修复指南: https://docs.openclaw.ai/security/patch-2026-03讨论区: https://discord.gg/clawd-security⚠️ 重要提醒本文报道的漏洞信息基于安全研究目的请勿用于非法用途。发现安全问题请通过官方渠道负责任的披露。安全无小事及时更新是关键