🇰🇷 한글 설명
OpenClaw(npm 패키지 openclaw) 2026.7.1 미만 버전에서 MCP 채널 브릿지를 통해 전달되는 Claude Code 권한 요청에 대해 소유자 전용 인증 요구사항을 강제하지 못하는 취약점이 발견되었습니다. 권한이 있는 비소유자 채널 송신자가 소유자에게 전달되어야 할 권한 요청을 승인하거나 거부할 수 있어, 소유자의 동의 없이 요청된 작업이 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 중요한 작업을 할 때 주인에게 허락을 받아야 하는데, 주인이 아닌 다른 사람이 대신 '예'라고 대답할 수 있는 보안 구멍이 있습니다. 이로 인해 사용자가 원하지 않는 동작이 몰래 실행될 위험이 있습니다.
🇺🇸 원문 (English)
OpenClaw (npm package `openclaw`) before 2026.7.1 fails to enforce the owner-only authorization requirement for Claude Code permission prompts delivered through the MCP channel bridge. An authorized non-owner channel sender with channel command access can approve or deny a pending permission request intended for the owner, causing the requested action to proceed without owner consent. The practical impact depends on the pending action and the host capabilities requested by the Claude Code run. The issue is fixed in version 2026.7.1.
📍 영향받는 시스템
OpenClaw (npm package `openclaw`) version < 2026.7.1
⚔️ 공격 벡터
MCP 채널 브릿지를 통해 권한이 있는 비소유자 송신자가 소유자의 권한 요청을 가로채 승인함
🛡️ 대응 방법
OpenClaw 패키지를 2026.7.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.7.1 미만인지 확인하십시오.
npm list openclaw | grep -E 'openclaw@'