CVE-2026-26320

OpenClaw kişisel bir yapay zeka asistanıdır. OpenClaw macOS masaüstü istemcisi `openclaw://` URL şemasını kaydeder. Refakatsiz bir `key` içermeyen `openclaw://agent` derin bağlantıları için uygulama, daha önce mesajın yalnızca ilk 240 karakterini görüntüleyen ancak kullanıcı "Run" seçeneğine tıkladıktan sonra mesajın tamamını çalıştıran bir onay iletişim kutusu gösteriyordu. Yazım anında OpenClaw macOS masaüstü istemcisi hala beta aşamasındadır. 2026.2.6 ile 2026.2.13 arasındaki sürümlerde, bir saldırgan kötü amaçlı yükü görünür önizlemenin dışına itmek için mesajı boşluklarla doldurabilir ve böylece kullanıcının aslında yürütülen mesajdan farklı bir mesajı onaylama olasılığını artırabilirdi. Bir kullanıcı derin bağlantıyı çalıştırırsa, aracılar, kullanıcının yapılandırdığı araç onaylarına/izin verilenler listelerine bağlı olarak rastgele komut çalıştırılmasına yol açabilecek eylemler gerçekleştirebilir. Bu, sosyal mühendislik aracılığıyla gerçekleşen bir güvenlik açığıdır: onay isteminin, yürütülen mesajı yanlış temsil etmesi sağlanabilir. Sorun 2026.2.14 sürümünde düzeltilmiştir. Diğer hafifletici önlemler arasında, güvenilmeyen sitelerde gezinirken tetiklenen beklenmedik "Run OpenClaw agent?" istemlerini onaylamamak ve refakatsiz derin bağlantıları yalnızca güvenilir kişisel otomasyonlar için geçerli bir `key` ile kullanmak yer alır.