Resumo técnico
O problema combina três falhas de implementação: ingestão insegura do parâmetro gatewayUrl via URL, conexão automática ao gateway sem confirmação e transmissão de tokens de autenticação sensíveis no handshake. A exploração ocorre quando um JavaScript malicioso carrega OpenClaw no navegador com um gatewayUrl controlado pelo atacante; o token de autenticação é então enviado ao servidor adversário, que abre uma WebSocket para localhost:18789 e autentica-se usando o token roubado.
Vetor e impacto
- Produto: OpenClaw (ex‑ClawdBot/Moltbot).
- Impacto: execução remota de código sem autenticação com acesso a nível de sistema, explorando ausência de validação da origem no WebSocket (CSWSH).
- CVSS reportado: crítico (9.8+), conforme a análise publicada.
- Alcance estimado: a publicação cita mais de 100.000 desenvolvedores usando a plataforma.
Sequência de ataque
A cadeia descrita segue estas etapas: visita do usuário a página maliciosa → carregamento do OpenClaw com gatewayUrl enganoso → vazamento do authToken ao atacante → abertura de WebSocket para localhost → desativação de mecanismos de segurança via APIs administrativas → execução de comandos no host (node.invoke).
Mitigações e resposta
O time de desenvolvimento do OpenClaw implementou um modal de confirmação do gateway URL que impede a conexão automática sem consentimento. A depthfirst recomenda atualização imediata para versões corrigidas; usuários anteriores à v2026.1.24-1 permanecem vulneráveis, segundo a publicação.
Medidas sugeridas para administradores: rotacionar tokens de autenticação, auditar logs de execução de comandos, segmentar processos de agente AI e restringir conexões WebSocket de saída desses processos.
Implicações
Trata‑se de um exemplo de risco inerente a agentes AI com privilégios locais amplos: a exposição de tokens e a falta de validação de origem em conexões locais permitem que navegadores sirvam de proxy para pivotar contra instâncias de agente. Para organizações que adotam OpenClaw, recomenda‑se auditoria de permissões de conta, controles de rede e revisão de políticas de tokens enquanto o patch é adotado.
Fontes
Baseado na divulgação técnica feita pela depthfirst e reproduzida pelo Cyber Security News. A publicação indica mitigação implementada e a versão alvo do patch.