腾讯朱雀实验室历史披露的漏洞（CVE / GHSA）汇总。
-
open_in_new中危 CVE-2026-42439 CWE-862/CWE-918
OpenClaw: Browser tabs action select and close routes bypassed SSRF policy
deployed_code 影响范围：openclaw < 2026.4.10 calendar_today 发布日期：2026年4月17日 -
open_in_new中危 CVE-2026-43576 CWE-601/CWE-918
OpenClaw: CDP /json/version WebSocket URL could pivot to untrusted second-hop targets
deployed_code 影响范围：openclaw < 2026.4.5 calendar_today 发布日期：2026年4月17日 -
open_in_new高危 CVE-2026-43584 CWE-184
OpenClaw: Exec environment denylist missed high-risk interpreter startup variables
deployed_code 影响范围：openclaw < 2026.4.10 calendar_today 发布日期：2026年4月17日 -
open_in_new高危 CVE-2026-43533 CWE-23
OpenClaw: QQBot media tags could read arbitrary local files through reply text
deployed_code 影响范围：openclaw < 2026.4.10 calendar_today 发布日期：2026年4月17日 -
open_in_new高危 CVE-2026-42427 CWE-78/CWE-184
OpenClaw: HGRCPATH, CARGO_BUILD_RUSTC_WRAPPER, RUSTC_WRAPPER, and MAKEFLAGS missing from exec env denylist — RCE via build tool env injection (GHSA-cm8v-2vh9-cxf3 class)
deployed_code 影响范围：openclaw < 2026.4.8 calendar_today 发布日期：2026年4月9日 -
open_in_new中危 CVE-2026-42422 CWE-863
OpenClaw `device.token.rotate` mints tokens for unapproved roles, bypassing device role-upgrade pairing
deployed_code 影响范围：openclaw < 2026.4.8 calendar_today 发布日期：2026年4月9日 -
open_in_new中危 CVE-2026-42431 CWE-863
OpenClaw `node.invoke(browser.proxy)` bypasses `browser.request` persistent profile-mutation guard
deployed_code 影响范围：openclaw < 2026.4.8 calendar_today 发布日期：2026年4月9日 -
open_in_new中危 CVE-2026-41916 CWE-613
OpenClaw: resolvedAuth closure becomes stale after config reload
deployed_code 影响范围：openclaw < 2026.4.8 calendar_today 发布日期：2026年4月9日 -
open_in_new中危 CVE-2026-42421 CWE-613
OpenClaw: Existing WS sessions survive shared gateway token rotation
deployed_code 影响范围：openclaw < 2026.4.8 calendar_today 发布日期：2026年4月9日 -
open_in_new中危 CVE-2026-42426 CWE-269/CWE-863
OpenClaw `node.pair.approve` placed in `operator.write` scope instead of `operator.pairing` allows unprivileged pairing approval
deployed_code 影响范围：openclaw < 2026.4.8 calendar_today 发布日期：2026年4月9日
每页