事件经过
VulnCheck发布了CVE-2026-108757（发布于2026-10-11，CVSS 6.5 v3.1 / 7.1 v4.0，CWE-306）针对Nexting pinclaw OpenClaw频道插件 ≤ 0.3.0：POST /pinclaw/send上跳过认证令牌检查，且服务器默认绑定所有接口，允许未认证盲提示注入主代理。已通过NVD REST API验证。
影响分析
这是一个代理接管原语：通过向主OpenClaw代理会话注入指令，攻击者可以引导自主代理执行破坏性操作、窃取数据或横向移动至连接的工具——这正是防御者必须阻止的提示注入到代理执行的类别，且该漏洞通过网络未认证即可利用。
攻击途径
未认证攻击者访问端口18790发送精心构造的POST /pinclaw/send；src/core/http-router.ts在该路由上跳过authToken检查（CWE-306），将盲提示作为用户指令注入用户的主OpenClaw代理会话。
受影响系统
Nexting pinclaw OpenClaw频道插件（npm: pinclaw）至0.3.0
缓解措施
升级至0.3.0以上版本或确保pinclaw HTTP服务仅绑定回环地址并强制实施authToken；将其置于认证之后。公告：https://www.vulncheck.com/advisories/nexting-pinclaw-through-0.3.0-missing-authentication-via-post-pinclaw-send