Vulnerabilidade grave no OpenClaw permite controle remoto por sites maliciosos
Pesquisadores de segurança revelaram uma vulnerabilidade crítica, chamada “ClawJacked”, na popular plataforma de IA OpenClaw. Essa falha permite que sites maliciosos realizem ataques de força bruta silenciosos em instâncias locais do OpenClaw, possibilitando o controle total sobre a plataforma. A vulnerabilidade foi descoberta pela Oasis Security, que notificou a OpenClaw, resultando em um patch liberado na versão 2026.2.26 em 26 de fevereiro. O problema decorre do serviço de gateway do OpenClaw estar vinculado ao localhost por padrão, expondo uma interface WebSocket. Como as políticas de origem cruzada dos navegadores não bloqueiam conexões WebSocket para localhost, um site malicioso pode usar JavaScript para abrir uma conexão com o gateway local e tentar autenticação sem alertas. Apesar de o OpenClaw ter limitações de taxa para prevenir ataques de força bruta, o endereço de loopback (127.0.0.1) é isento por padrão, permitindo que tentativas de login sejam feitas a centenas por segundo. Com acesso autenticado, um atacante pode interagir diretamente com a plataforma de IA, comprometendo dados sensíveis e executando comandos arbitrários. A Oasis demonstrou a exploração da vulnerabilidade e enfatizou a necessidade urgente de atualização para a versão corrigida para evitar comprometimentos.