🇰🇷 한글 설명
OpenClaw 2026.4.2 이전 버전에서 Gemini OAuth 흐름 중 PKCE 검증기(verifier)를 OAuth state 파라미터로 재사용하는 취약점이 발견되었습니다. 이로 인해 리다이렉트 URL을 가로챈 공격자가 권한 부여 코드와 PKCE 검증기를 모두 획득하여 PKCE 보호를 무력화하고 토큰을 탈취할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 보안을 위해 사용하는 비밀 암호를 주소창에 노출하는 실수입니다. 해커가 이 주소를 훔쳐보면 사용자의 계정 권한을 가로챌 수 있습니다.
🇺🇸 원문 (English)
OpenClaw before 2026.4.2 reuses the PKCE verifier as the OAuth state parameter in the Gemini OAuth flow, exposing it through the redirect URL. Attackers who capture the redirect URL can obtain both the authorization code and PKCE verifier, defeating PKCE protection and enabling token redemption.
📍 영향받는 시스템
OpenClaw versions before 2026.4.2
⚔️ 공격 벡터
리다이렉트 URL을 가로채어 PKCE 검증기와 권한 부여 코드를 탈취하는 방식
🛡️ 대응 방법
OpenClaw를 2026.4.2 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.4.2보다 낮으면 취약한 상태입니다.
openclaw --version 2>/dev/null | grep -E '2026\[\.\d+\]'