CVE-2026-32053OpenClaw 2026.2.23之前的版本中存在一个安全漏洞，涉及Twilio webhook事件去重机制的处理逻辑。该漏洞源于系统在规范化事件ID时引入了随机性，导致每次解析同一事件时都会生成不同的ID。这使得攻击者能够绕过管理器的去重检查，成功重放Twilio webhook事件。利用此漏洞可能导致系统处理重复或过时的呼叫状态转换，进而引发呼叫处理异常及状态数据损坏，对系统的完整性和可用性造成威胁。
该漏洞位于OpenClaw处理Twilio webhook事件的去重模块中。正常情况下，系统应依赖稳定的事件ID来识别并拒绝重复的请求。然而，在受影响的版本中，代码在对事件ID进行规范化处理以生成缓存键时，使用了包含随机因子的算法。这意味着，即使攻击者发送的是完全相同的Twilio事件载荷，OpenClaw在每次解析时生成的内部规范化ID都是独一无二的。去重管理器通过查询该规范化ID来判断事件是否已处理。由于ID的随机性，重放的事件总能生成一个新的ID，导致缓存查询失败，从而绕过了去重机制。攻击者只需捕获合法的webhook请求并向服务器重放，即可欺骗系统接受已过时的指令。这会破坏呼叫状态机的完整性，导致如挂断正在进行的通话、错误计费或状态不一致等后果。该漏洞利用难度低，无需认证且无用户交互即可通过网络触发。