🇰🇷 한글 설명
OpenClaw(npm 패키지 'openclaw') 2026.7.1 미만 버전에서 node.invoke 메서드를 통해 브라우저 제어 시 관리자 권한 요구 사항이 제대로 강제되지 않는 취약점이 발견되었습니다. 이로 인해 쓰기 권한만 있는 호출자가 연결된 브라우저의 페이지를 조사하거나 탭을 이동하고 애플리케이션과 상호작용할 수 있습니다. 다만, 공유 비밀 토큰이나 비밀번호를 사용하는 호출자는 보안 모델상 신뢰할 수 있는 운영자로 간주되어 영향을 받지 않습니다.
💡 쉬운 설명
브라우저를 조작하려면 원래 관리자 권한이 필요하지만, 특정 경로를 통하면 일반 권한만으로도 브라우저를 마음대로 조작할 수 있는 문제입니다. 이를 통해 공격자가 사용자의 브라우저 화면을 훔쳐보거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
OpenClaw (npm package 'openclaw') before 2026.7.1 does not enforce the administrator scope requirement on browser control when it is reached through the node.invoke method, although direct browser.request access requires administrator scope. In Gateway deployments that honor caller identity and narrower operator scopes, a write-scoped caller with access to a connected browser-capable node can inspect pages, navigate tabs, or interact with browser-visible applications without the configured admin requirement; practical impact depends on the browser profile and signed-in state. Shared-secret token and password callers are considered fully trusted operators under OpenClaw's security model and are not affected. The issue is fixed in 2026.7.1.
📍 영향받는 시스템
OpenClaw (npm package 'openclaw') version < 2026.7.1
⚔️ 공격 벡터
node.invoke 메서드를 이용한 권한 우회 및 브라우저 제어
🛡️ 대응 방법
OpenClaw 패키지를 2026.7.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.7.1 미만인지 확인하십시오.
npm list openclaw | grep -E 'openclaw@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access