OpenClaw corrige una RCE de un clic que filtraba tokens del gateway y luego agrega escaneo de malware a las skills de ClawHub

La interfaz Control UI de OpenClaw tomaba un valor gatewayUrl de la cadena de consulta de la página y se conectaba automáticamente, enviando el token del gateway guardado. El aviso del proyecto explica que una víctima que hiciera clic en un enlace manipulado o visitara un sitio malicioso podía filtrar ese token a un atacante, quien luego podía conectarse a su gateway, cambiar la configuración del sandbox y de aprobación de herramientas, y ejecutar comandos en el equipo. Como la conexión la hacía el navegador de la víctima, también quedaban expuestos los gateways que solo escuchaban en loopback.

El aviso indica que el paquete npm clawdbot en 2026.1.28 y versiones anteriores está afectado y que 2026.1.29 lo corrige; ahora la interfaz pide confirmar cualquier URL de gateway nueva. NVD le asigna 8.8 (alta). Ethiack, cuyo investigador aparece como descubridor, afirma que su agente autónomo de pentesting con IA encontró la falla, y depthfirst, acreditado como quien la reportó, dice que su motor de análisis detectó el flujo de datos antes de que un investigador armara el exploit.

Días después, OpenClaw anunció que cada skill publicada en su marketplace ClawHub se analiza con VirusTotal, incluida la revisión Code Insight basada en LLM. Las skills consideradas maliciosas se bloquean para descarga, las sospechosas muestran una advertencia y las activas se vuelven a escanear a diario. OpenClaw advierte que un escaneo limpio es una señal y no una garantía, porque las instrucciones de prompt injection escritas en lenguaje natural pueden no activar ninguna firma.