CVE-2026-25253: a vulnerabilidade do OpenClaw que permite roubar Tokens e tomar o controle do gateway com apenas um clique

Uma vulnerabilidade grave colocou em risco usuários do OpenClaw, o assistente pessoal de inteligência artificial que é executado localmente e que em poucos meses ganhou uma comunidade muito ativa. O erro, registrado como CVE-2026-25253 e com uma pontuação CVSS alta, permite que um atacante robe o token de autenticação de uma sessão e use para tomar o controle do "gateway" local, o que pode ser traduzido em execução remota de código com apenas um clique. Para ver a ficha oficial do CVE consulte a entrada na base de dados do NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-25253.

A origem do problema está em como a interface de controle do OpenClaw gerencia a conexão WebSocket ao gateway local. Segundo a nota de segurança publicada pelo próprio projeto, a interface aceita sem validar um parâmetro usado para construir o URL do gateway e, além disso, tenta se conectar automaticamente ao carregar. Essa conduta faz com que, se um usuário autenticado visitar um link especialmente desenhado ou uma página maliciosa, o navegador possa enviar o token armazenado na carga útil da conexão WebSocket para servidores controlados pelo atacante. Você pode ler a explicação técnica no aviso de segurança do repositório: https://github.com/openclaw/openclaw/security/advisories/GHSA-g8p2-7wf7-98mq.

O pesquisador que reportou a falha, Mav Levin de depthfirst, mostrou como essa extração de token acorrente facilmente outras ações maliciosas: com um token que tem privilégios de operador pode ser desativada as confirmações de execução, mudar a configuração para que as ferramentas de shell sejam executadas no host em vez de dentro de um contentor, e finalmente invocar um comando que termina sendo executado na máquina local. Levin detalha o processo em sua análise técnica, onde demonstra que basta que a vítima abra uma página para que o exploit se dispare em milisegundos: https://depthfirst.com/post/1-click-rce-to-steal-your-moltbot-data-and-keys.

Um aspecto particularmente preocupante é que a falha funciona mesmo quando o serviço está configurado para ouvir apenas no loopback (localhost). A razão é que o navegador do usuário inicia a conexão saliente para o gateway; essa conduta sortea as restrições de rede locais habituais e converte o navegador em uma ponte entre a página maliciosa e o serviço protegido. O criador do projeto, Peter Steinberger, explica este vetor e por que é crítico corrigi-lo quanto antes: https://openclaw.ai/blog/introducing-openclaw e o repositório principal contém contexto sobre design e implementação: https://github.com/openclaw/openclaw.

Os responsáveis pelo projeto publicaram um adesivo que corrige a vulnerabilidade e recomendam atualizar imediatamente a versão corrigida, lançado em 30 de janeiro de 2026: v2026.1.29. Além de aplicar a atualização oficial, é prudente que os administradores e usuários revoken qualquer token exposto, reiniciem os serviços afetados e revejam os registros em busca de atividade incomum. Também convém limitar a exposição do gateway a ambientes de confiança e considerar medidas temporárias como evitar o uso da interface de controle a partir de navegadores se não for estritamente necessário.

Do ponto de vista da segurança do software, esta incidência destaca duas lições claras: validar sempre a origem e os parâmetros que usam as conexões WebSocket, e não confiar em conexões automáticas que enviem credenciais ou tokens sem uma verificação explícita do usuário. Implementar verificações do cabeçalho Origin, evitar o envio de tokens acessíveis de JavaScript e exigir confirmações interativas para ações privilegiadas são práticas que mitigam este tipo de risco.

OpenClaw (anteriormente conhecido como Clawdbot ou Moltbot) foi apresentado em novembro de 2025 como uma alternativa que executa agentes de IA no dispositivo do usuário e rapidamente acumulou uma grande base de usuários e estrelas no GitHub. Esse crescimento explica por que a vulnerabilidade teve um impacto rápido: projetos com implantaçãos locais que manejam credenciais sensíveis requerem controles de segurança adicionais precisamente pelo modelo de execução que defendem.

Se você usar o OpenClaw, a prioridade é atualizar a versão 2026.1.29 O mais rapidamente possível e seguir as indicações oficiais do projecto. Para mais detalhes técnicos e sistemas oficiais consulta o advisory do repositório e a entrada do pesquisador que descobriu a falha: advisory e análise de depthfirst. Manter o software atualizado e aplicar princípios de mínimo privilégio e validação de origens reduz significativamente a probabilidade de incidentes assim voltarem a acontecer.