CVE-2026-32023 OpenClaw审批绕过漏洞

OpenClaw 2026.2.24之前的版本中存在审批绕过漏洞。在system.run白名单模式下，攻击者可以利用嵌套透明分发包装器来抑制shell-wrapper检测机制，从而绕过预期的审批提示，以低权限执行任意命令，导致系统完整性受损和可用性影响。

该漏洞的核心在于OpenClaw的system.run功能在处理白名单模式时，对嵌套的透明分发包装器检测存在深度不匹配。正常配置下，系统应拦截并提示未明确允许的命令。然而，攻击者可以通过链接多个分发包装器（例如多次调用/usr/binenv），构造出能够规避shell-wrapper检测的命令链。这种攻击方式利用了系统对包装器深度检查的疏漏，成功绕过“allowlist plus ask=on-miss”配置的安全限制，最终执行/bin/sh -c等敏感命令，实现未经授权的代码执行。