漏洞关键信息 漏洞概述 - 漏洞标题: skills.status could leak secrets to operator.read clients - 漏洞标识: GHSA-8mh7-phf8-xgfm - 严重程度: 中等 受影响的包/版本 - 包名: openclaw (npm) - 受影响版本: <= 2026.2.13 - 修复版本: 2026.2.14 漏洞详情 - 问题描述: skills.status 方法返回的依赖项报告包含了 configChecks[].value (每个 requires.config 条目的解析值)。如果一个技能要求广泛的配置子树（例如 channels.discord），报告可能包含敏感信息，如 Discord 机器人令牌。 - 影响范围: skills.status 可以用 operator.read 调用，因此读取范围的客户端可以未授权访问敏感数据。 修复措施 - 修复步骤: - 不再包含要求检查中的原始解析配置值 (只返回 { path, satisfied })。 - 缩窄 Discord 技能要求到 token key。 - 修复提交: - d342805 - ebc6886 缓解措施 - 旋转任何可能暴露给读取范围客户端的 Discord 令牌。 发布过程注释 - 修复版本已被预设为计划的下一个发布(2026.2.14)。一旦 npm 发布日期确定，咨询意见可以发布而没有进一步编辑，感谢 @simecek 报告漏洞。 CVE ID & 弱点 - CVE ID: CVE-2026-26326 - 弱点: CWE-200 致谢 - 感谢@simecek报告漏洞。