OpenClaw Codex computer-use 安裝指令授權繞過：非擁有者也能安裝外掛並在主機上執行程式

影響範圍

實際要被利用，還需要頻道裡有一位已授權、有指令權限、但不是擁有者的發送者。CVSS 把所需權限評為「低」,也就是說這不是陌生人不用登入就能發動的攻擊。PlainCVE 的判斷：從官方建議「在訊息頻道中停用安裝功能」來看，這個安裝指令要能從訊息頻道觸發，才會有風險。

哪個版本最早加入這個有問題的指令，沒有來源說明;CNA 與 OSV 標示的起點「0」只代表「所有更早的版本」。

版本範圍的細節：廠商公告與 CVE 紀錄寫的是 semver 的「低於 2026.7.1」,廠商並說 2026.7.1 是「第一個已修補的正式版」。依 semver,2026.7.1 的 beta 預發布版(npm 上有 beta.1、beta.2、beta.4～beta.6,沒有 beta.3)與 2026.7.1 正式版之後才發布的 2026.7.1-1、2026.7.1-2(2026-07-18)都低於 2026.7.1,落在這個範圍內;OSV 也把 v2026.7.1-beta.3～beta.6 列為受影響。git 紀錄則是另一個樣子:PlainCVE 判斷的修補 PR #97955,其合併 commit e87b0df(2026-06-30)依 GitHub 的比較結果，是 v2026.7.1-beta.1 起每個 beta 標籤的祖先，而 v2026.7.1-1、v2026.7.1-2 分別比 v2026.7.1 多 8、9 個 commit、落後 0,完整包含 v2026.7.1。也就是說，這些版本的程式碼裡已有修補，只是版本號落在廠商公告的範圍內，廠商也沒有說明它們的狀態。

npm 上另有 2026.6.33～2026.6.35(2026-07-21 至 2026-09-10 發布),發布時間比 2026.7.1 晚,版本號卻比 2026.7.1 小,依 semver 同樣落在「低於 2026.7.1」。依 GitHub 的比較結果，這三個標籤是在修補之前就分出去的版本線，不含 e87b0df;PlainCVE 另外看了這三個標籤的 Codex 指令處理程式，沒有 PR #97955 加入的安裝權限檢查。使用這條版本線的讀者不要只看發布日期，應改用 2026.7.1 正式版以上。

原理

OpenClaw 有一個 Codex computer-use 安裝指令，用來安裝 Codex 外掛。外掛裝好後，它設定的 MCP 程序(MCP 是讓 AI 呼叫外部工具的協定，這裡指外掛在主機上啟動的一個程式)會在 OpenClaw 主機上以 OpenClaw 使用者的權限執行。

官方公告說得很清楚：依照 OpenClaw 的安全模型，已安裝的外掛本來就被當成可信任的程式碼。出問題的不是外掛怎麼執行，而是「誰可以安裝」這道檢查。受影響版本中，這個指令可能沒有確認發送者是擁有者，於是有指令權限的非擁有者也能安裝自己挑選的外掛。這對應 CWE-862(缺少授權)。

有問題的思路(概念示意，不是原始程式碼):

function handleCodexInstall(sender, plugin) {
  if (!sender.hasCommandAccess) return deny();
  // 只確認「能下指令」,沒確認「是擁有者」
  installPlugin(plugin);
}

修好的思路:

function handleCodexInstall(sender, plugin) {
  if (!sender.isOwner && !sender.isAdmin) return deny(); // 安裝可信任程式碼只限擁有者或管理員
  installPlugin(plugin);
}

PlainCVE 依內容比對判斷，對應的修補是 PR #97955(fix(codex): restrict computer-use installation,2026-06-30 合併);廠商公告與 CVE 紀錄沒有引用任何 PR 或 commit,所以這個對應不是官方說法。2026.7.1 的發布說明列了這一項：安裝或重新設定 Codex Computer Use 資源改為需要擁有者或管理員權限，其他授權發送者仍可以查看狀態(status);PR 說明則寫明是擁有者或具 operator.admin 權限的 Gateway 用戶端。

時間軸

PlainCVE 的判斷：修補版比公告早了大約兩個月釋出。

延伸閱讀

• 評分差異： CNA(VulnCheck)的 CVSS 4.0 為 8.7;廠商公告的 CVSS 3.1 為 8.8(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H),沒有給 4.0 分數。NVD 尚未分析(狀態為 Deferred)。
• 公開日期說法不一： 廠商公告與 CVE 紀錄的公開日期是 2026-09-11;TheHackerWire 則寫 2026-09-26,那其實是 CVE 紀錄的發布日。本頁採用 2026-09-11。
• 利用情況： 沒有來源報告實際遭利用，也沒有來源排除;是否曾以零時差方式被利用也沒有資料。TheHackerWire 表示當時尚未確認有公開的利用程式。GitHub 資料庫列出的 EPSS 機率約 0.246%(2026-09-28)。
• 不是這次的修補： commit 995febb(#69774)也收緊了僅限擁有者指令的檢查，但沒有來源把它和這個 CVE 連起來，而且它的更新紀錄在 2026.4.20 段落之上，早於 2026.7.1。本頁不把它當成修補。
• 廠商公告本身沒有列出 CVE 編號，是 CNA(VulnCheck)在 CVE 紀錄中連結了這份公告。GitHub 資料庫條目 GHSA-w2h4-w48g-f6hp 尚未審核。
• 回報者：GitHub 使用者 wwwvwwvwwwwwvwwvw。