🇰🇷 한글 설명
OpenClaw 2026.1.5 미만 버전의 Gateway에서 설정된 훅 모듈 경로를 충분히 제한하지 않아 발생하는 취약점입니다. 공격자가 게이트웨이 설정을 수정할 수 있다면, dynamic import()를 통해 의도하지 않은 로컬 모듈을 Node.js 프로세스에서 실행할 수 있습니다.
💡 쉬운 설명
프로그램 설정 파일에 악성 코드가 담긴 파일을 불러오도록 명령을 내릴 수 있는 보안 허점입니다. 설정 권한을 가진 사람이 이 기능을 악용하면 컴퓨터에 몰래 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
OpenClaw versions 2026.1.5 prior to 2026.2.14 contain a vulnerability in the Gateway in which it does not sufficiently constrain configured hook module paths before passing them to dynamic import(), allowing code execution. An attacker with gateway configuration modification access can load and execute unintended local modules in the Node.js process.
📍 영향받는 시스템
OpenClaw versions 2026.1.5 prior to 2026.2.14
⚔️ 공격 벡터
게이트웨이 설정 수정 권한을 이용한 악성 로컬 모듈 경로 주입 및 dynamic import() 실행
🛡️ 대응 방법
OpenClaw 버전을 2026.2.14 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.1.5에서 2026.2.13 사이라면 취약한 버전이 설치된 것입니다.
npm list openclaw --depth=0 | grep -E 'openclaw@2026\.[0-1]\.'