漏洞风险提示（20260410）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 OpenClaw授权问题漏洞（CVE-2026-32978）
一、漏洞描述：
                
        OpenClaw是一款用于权限管理的命令行工具。
        OpenClaw 2026.3.11之前版本存在安全漏洞，该漏洞源于system.run审批功能未能正确绑定tsx、jiti等特定脚本运行器的可变文件操作数。攻击者可利用该漏洞先获取良性脚本命令的审批，随后重写磁盘上被引用的脚本，进而在已审批的运行上下文中执行恶意修改后的代码。
二、风险等级：
        高
三、影响范围：
        OpenClaw OpenClaw ≤2026.3.10
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/openclaw/open ... GHSA-qc36-x95h-7j53

---

2 OpenClaw访问控制错误漏洞（CVE-2026-33573）
一、漏洞描述：
        
        OpenClaw是一款用于权限管理的命令行工具。
        OpenClaw 2026.3.11之前版本存在安全漏洞，该漏洞源于网关代理RPC接口在验证权限时，未能有效限制spawnedBy和workspaceDir参数。攻击者可利用该漏洞突破配置的工作空间边界，从任意进程可访问的目录执行文件及命令操作。
二、风险等级：
        高
三、影响范围：
        OpenClaw OpenClaw ≤2026.3.10
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/openclaw/open ... GHSA-2rqg-gjgv-84jm

---

3 Totolink A3300R命令注入漏洞（CVE-2026-5105）
一、漏洞描述：
        
        Totolink A3300R是Totolink公司的一款无线路由器。
        Totolink A3300R 17.0.0cu.557_b20221024版本存在命令注入漏洞，该漏洞源于组件参数处理器中/cgi-bin/cstecgi.cgi文件的setVpnPassCfg函数对pptpPassThru参数处理不当。攻击者可利用该漏洞通过远程发起攻击，执行任意命令。
二、风险等级：
        高
三、影响范围：
        TOTOLINK A3300R 17.0.0cu.557b20221024
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://vuldb.com/vuln/354130

---

4 OliveTin路径遍历漏洞（CVE-2026-31817）
一、漏洞描述：
        
        OliveTin是OliveTin开源的一个Web应用。
        OliveTin存在路径遍历漏洞，该漏洞是由于对UniqueTrackingId的不安全解析造成的，攻击者可利用该漏洞遍历系统上的目录。
二、风险等级：
        高
三、影响范围：
        OliveTin OliveTin ≤3000.11.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/OliveTin/OliveTin/releases

---