CVE-2026-25253: die Schwachstelle von OpenClaw, die es ermöglicht, Token zu stehlen und die Kontrolle des Gateways mit einem einzigen Klick

Eine ernsthafte Sicherheitsanfälligkeit hat den Nutzern von OpenClaw, dem persönlichen künstlichen Intelligenzassistenten, der vor Ort läuft und in einigen Monaten eine sehr aktive Gemeinschaft gewonnen. Der Ausfall, aufgezeichnet als CVE-2026-25253 und mit einem hohen CVSS-Score, ermöglicht es einem Angreifer, das Authentifizierungs-Token aus einer Sitzung zu stehlen und es zu benutzen, um die Steuerung des lokalen "Gateway", die in Remote-Code-Ausführung mit einem einzigen Klick übersetzt werden kann. Für die offizielle CVE-Datei sehen Sie den Eintrag in der NVD-Datenbank: https: / / nvd.nist.gov / vuln / detail / CVE-2026-25253.

Die Ursache des Problems ist, wie die OpenClaw-Steuerschnittstelle die WebSocket-Verbindung mit dem lokalen Gateway bedient. Gemäß der vom Projekt selbst veröffentlichten Sicherheitshinweise akzeptiert die Schnittstelle, ohne einen Parameter zu validieren, der zum Aufbau der Gateway-URL verwendet wird, und versucht auch, sich beim Laden automatisch zu verbinden. Dieses Verhalten bedeutet, dass, wenn ein authentifizierter Benutzer einen speziell gestalteten Link oder eine bösartige Seite besucht, der Browser das auf der Nutzlast der WebSocket-Verbindung gespeicherte Token an von dem Angreifer gesteuerte Server senden kann. Sie können die technische Erklärung im Sicherheitshinweis des Projektarchivs lesen: https: / / github.com / openclaw / openclaw / sicherheit / beratung / GHSA-g8p2-7wf7-98mq.

Der Forscher, der das Versagen berichtete, Mav Levin aus der Tiefe zuerst, zeigte, wie die Entfernung von Token leicht andere schädliche Aktionen verknüpft: mit einem Token, der Betreiber Privilegien hat, können Sie die Ausführungsbestätigungen deaktivieren, die Konfiguration ändern, so dass die Shell-Tools auf dem Host statt in einem Container laufen, und schließlich rufen Sie einen Befehl, der auf dem lokalen Gerät läuft. Levin nähert den Prozess in seiner technischen Analyse, wo er zeigt, dass es genug für das Opfer ist, eine Seite für die Explosion zu öffnen, in Millisekunden zu schießen: https: / / tieffirst.com / post / 1-click-rce-to-steal-your-moltbot-data-and-keys.

Ein besonders beunruhigender Aspekt ist, dass der Ausfall auch dann funktioniert, wenn der Dienst konfiguriert ist, nur im Loopback (localhost) zuzuhören. Der Grund ist, dass der Browser des Nutzers die ausgehende Verbindung zum Gateway startet; dieses Verhalten sortiert die üblichen lokalen Netzeinschränkungen und macht den Browser eine Brücke zwischen der bösartigen Seite und dem geschützten Dienst. Der Projektschöpfer Peter Steinberger erklärt diesen Vektor und warum es entscheidend ist, ihn so schnell wie möglich zu korrigieren: https: / / openclaw.ai / blog / introng-openclaw und das Hauptrepository enthalten Kontext zu Design und Implementierung: https: / / github.com / openclaw / openclaw.

Projektleiter veröffentlichten einen Patch, der die Sicherheitslücke korrigiert und eine sofortige Aktualisierung der korrigierten Version empfehlen, veröffentlicht am 30. Januar 2026: V2026.1.29. Über die Anwendung der offiziellen Aktualisierung hinaus ist es für Administratoren und Benutzer praktikabel, alle exponierten Token zu widerrufen, die betroffenen Dienste neu zu starten und die Datensätze für ungewöhnliche Aktivitäten zu überprüfen. Es ist auch angebracht, die Exposition des Gateways auf vertrauenswürdige Umgebungen zu begrenzen und vorübergehende Maßnahmen zu berücksichtigen, wie die Nutzung der Kontrollschnittstelle von Browsern zu vermeiden, wenn nicht unbedingt erforderlich.

Aus Sicht der Software-Sicherheit unterstreicht dieser Einfluss zwei klare Lektionen: die Herkunft und Parameter, die von WebSocket-Verbindungen verwendet werden, immer zu validieren und nicht auf automatische Verbindungen zu vertrauen, die Anmeldeinformationen oder Token ohne explizite Benutzerprüfung senden. Implementieren Original-Header-Checks, vermeiden Sie das Senden von zugänglichen Token von JavaScript und erfordern interaktive Bestätigungen für privilegierte Aktionen sind Praktiken, die diese Art von Risiko mildern.

OpenClaw - früher bekannt als Clawdbot oder Moltbot - wurde im November 2025 als Alternative präsentiert, die IA-Agenten auf dem Gerät des Benutzers betreibt und schnell eine große Basis von Benutzern und Sternen in GitHub angesammelt. Dieses Wachstum erklärt, warum die Sicherheitsanfälligkeit einen schnellen Einfluss hatte: Projekte mit lokalen Einsatzgebieten, die sensible Anmeldeinformationen behandeln, erfordern zusätzliche Sicherheitskontrollen genau für das von ihnen vertretene Umsetzungsmodell.

Wenn Sie OpenClaw verwenden, ist die Priorität, die Version zu aktualisieren ANHANG so schnell wie möglich und folgen Sie den offiziellen Anweisungen des Projekts. Für weitere technische Details und offizielle Patches sehen Sie die Mitteilung des Projektarchivs und den Eintrag des Ermittlers, der den Fehler entdeckte: Beratung und Erste Analyse. Die Aufrechterhaltung der Software auf dem neuesten Stand und die Anwendung von Mindestprivileg- und Quellvalidierungsprinzipien reduziert die Wahrscheinlichkeit, dass solche Vorfälle wieder passieren.