Se ha descubierto y convertido en un devastador exploit de ejecución remota de código con un solo clic una vulnerabilidad crítica en OpenClaw, el asistente personal de IA de código abierto en el que confían más de 100.000 desarrolladores. Investigadores de seguridad de depthfirst General Security Intelligence descubrieron un fallo lógico que, al combinarse con otras vulnerabilidades, podría desencadenar una reacción en cadena.

Se ha descubierto y convertido en un devastador exploit de ejecución remota de código con un solo clic una vulnerabilidad crítica en OpenClaw, el asistente personal de IA de código abierto en el que confían más de 100.000 desarrolladores.

Investigadores de seguridad de depthfirst General Security Intelligence descubrieron un fallo lógico que, al combinarse con otras vulnerabilidades, podría desencadenar una reacción en cadena.

Permite a los atacantes tomar el control completo de los sistemas de las víctimas mediante un enlace malicioso, sin necesidad de interacción por parte del usuario.

Resumen de la vulnerabilidad: Mecánica técnica del ataque

La arquitectura de OpenClaw otorga a los agentes de IA acceso en "modo dios" a aplicaciones de mensajería, claves API y control ilimitado del ordenador local.

Aunque el entusiasmo de la comunidad en torno a la plataforma ha impulsado su rápida adopción, el margen de error en seguridad en un entorno con privilegios tan altos se vuelve extremadamente reducido.

La vulnerabilidad recientemente revelada explota tres componentes distintos que funcionan en secuencia: ingestión insegura de parámetros URL, conexión inmediata a la pasarela sin validación y transmisión automática de tokens de autenticación.

La cadena de explotación comienza con tres operaciones aparentemente benignas que ocurren de forma independiente en el código base.

El módulo app-settings.ts acepta ciegamente el parámetro de consulta gatewayUrl de la URL sin validación y lo almacena directamente en localStorage.

Al configurar la aplicación, app-lifecycle.ts activa inmediatamente connectGateway(), que empaqueta automáticamente el token de autenticación sensible en el saludo de conexión con el servidor de pasarela controlado por el atacante.

Este patrón crea una vulnerabilidad crítica de divulgación de información. La cadena de ataque explota además un fallo en la validación del origen de WebSocket.

Cuando las víctimas visitan una página web maliciosa, el JavaScript inyectado por el atacante se ejecuta en el contexto de su navegador, estableciendo una conexión local con la instancia de OpenClaw que se ejecuta en localhost:18789.

A diferencia de las conexiones HTTP estándar, las implementaciones de WebSocket en los navegadores no aplican protecciones de Same-Origin Policy; en su lugar, dependen de la validación del encabezado de origen en el lado del servidor, que OpenClaw omite por completo.

Este secuestro de WebSocket entre sitios (CSWSH) permite al atacante pivotar a través del navegador de la víctima como proxy.

Una vez autenticado mediante el token robado, el atacante aprovecha los roles operator.admin y operator.approvals, así como los scopes, para desactivar los mecanismos de seguridad.

Una solicitud exec.approvals.set desactiva los mensajes de confirmación del usuario, mientras que una solicitud config.patch establece tools.exec.host en "gateway", forzando la ejecución de comandos directamente en la máquina anfitriona en lugar de dentro de entornos aislados.

La carga útil final invoca node.invoke con comandos bash arbitrarios, logrando un compromiso total del sistema.

Mitigaciones

El equipo de desarrollo de OpenClaw abordó rápidamente la vulnerabilidad implementando un modal de confirmación para la URL de la pasarela, eliminando el comportamiento de conexión automática sin aviso que permitía el ataque.

DepthFirst recomienda que todos los usuarios que ejecuten versiones anteriores a la v2026.1.24-1 son vulnerables y deben actualizar de inmediato.

Los administradores deben rotar los tokens de autenticación y auditar los registros de ejecución de comandos en busca de actividad sospechosa.

Este incidente subraya los riesgos de seguridad inherentes al otorgar a los agentes de IA acceso ilimitado al sistema sin una validación robusta de los cambios de configuración y las conexiones de red.

Las organizaciones que implementen OpenClaw deben aplicar segmentación de red adicional, restringir las conexiones WebSocket salientes de los procesos de los agentes de IA y mantener un registro de auditoría estricto para el uso de tokens de autenticación y modificaciones de privilegios.