CVE-2026-41909OpenClaw 2026.4.20之前版本在配对设备管理模块中存在不当授权漏洞。该漏洞允许权限受限的会话枚举并操作配对请求。攻击者若已拥有某设备的配对访问权限，即可利用此漏洞批准或处理同一网关范围内其他无关的待处理设备请求。这可能导致未经授权的设备接入网络，破坏系统的安全隔离性。
该漏洞的核心在于OpenClaw处理配对设备管理时的授权逻辑缺陷。在2026.4.20之前的版本中，当系统处理设备配对请求时，未正确验证当前会话是否有权操作特定的目标配对请求。正常逻辑下，一个已配对的设备仅应管理自身的配对状态或仅能查看公开信息。然而，由于缺乏针对“网关范围”内横向操作的有效隔离检查，攻击者利用一个已受损或低权限的配对设备会话，可以通过API端点枚举出同一网关下的所有待处理配对请求。随后，攻击者通过发送包含目标请求ID的特定操作指令（如批准、拒绝），即可劫持其他设备的配对流程。这种不当授权使得攻击者能够将恶意设备接入网络，或阻断合法设备的接入，严重破坏了网关的设备准入控制机制。