🇰🇷 한글 설명
OpenClaw(npm 패키지 openclaw)의 특정 버전에서 WhatsApp 그룹 처리 시 권한 검증 오류가 발견되었습니다. 명령 실행 권한이 없는 그룹 멤버가 /new 명령어를 사용하여 공유 그룹 세션을 초기화하고, 운영자가 허용한 모델과 제공자를 강제로 선택하여 데이터 흐름이나 비용을 변경할 수 있습니다.
💡 쉬운 설명
그룹 채팅방에서 명령어를 쓸 권한이 없는 사람이 특정 명령어를 몰래 사용하여 채팅방의 설정(사용 모델 등)을 마음대로 바꿔버릴 수 있는 문제입니다. 이를 통해 대화 내용이 전달되는 경로를 바꾸거나 비용을 발생시키는 등의 조작이 가능합니다.
🇺🇸 원문 (English)
OpenClaw (npm package openclaw) versions >= 2026.5.2 and < 2026.8.1 contain an incorrect authorization vulnerability in WhatsApp group handling. A group sender who is admitted for ordinary messages but denied by commands.allowFrom or owner command authorization can issue the /new <model> command to reset the shared group session and persist a provider and model override. This allows a command-denied group member to select a provider and model already permitted by the operator for subsequent turns in the shared group session, potentially changing provider routing, cost, data flow, or availability. It does not allow adding a new provider or host command execution. The issue is fixed in version 2026.8.1.
📍 영향받는 시스템
OpenClaw (npm package openclaw) versions >= 2026.5.2 and < 2026.8.1
⚔️ 공격 벡터
권한이 제한된 그룹 멤버가 /new <model> 명령어를 입력하여 세션을 초기화하고 설정을 덮어씀
🛡️ 대응 방법
OpenClaw 패키지를 버전 2026.8.1 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위(2026.5.2 ~ 2026.8.0)가 나타나면 해당 시스템은 취약합니다.
npm list openclaw | grep -E 'openclaw@202[6].(5|6|7).?'