AI工具自动发现OpenClaw RCE漏洞

🚨OpenClaw 一键远程代码执行（RCE）漏洞

如果你使用 Clawdbot/Moltbot，攻击者可能只需诱骗你打开一个链接，就能在你的机器上实现远程代码执行。

疯狂的地方在于：这个漏洞（CVE-2026-25253）是使用 Ethiack 的 AI 渗透测试工具 Hackian 在大约 100 分钟内完全自主发现的。

攻击流程 👇

1. 控制界面将网关认证令牌保存在 localStorage 中，并在页面加载时从中构建第一个 WebSocket 连接帧。
2. 界面还接受 gatewayUrl 查询参数，例如：/chat?gatewayUrl=wss://attacker。
3. 该参数会覆盖已保存的网关并自动连接。
4. 初始加载时，界面会打开一个 WebSocket 连接到攻击者控制的端点并发送令牌。

完整研究博客链接见评论区 🔗