---
title: "OpenClaw 被曝 API 授权漏洞：可取消他人预订"
source: "Simon Willison 博客（Atom）"
source_tier: "t2"
url: "https://simonwillison.net/2026/Aug/10/openclaw/#atom-everything"
permalink: "https://feed.astralor.com/items/itm_112f0e07b971dc3bd92c428b"
published: "2026-08-10T02:05:16.000Z"
score: 70
channel: "ai"
tags: ["API 安全","OpenClaw","授权漏洞"]
---

# OpenClaw 被曝 API 授权漏洞：可取消他人预订

## AI 点评

> 这不是普通的理论漏洞，而是作者亲手验证过的真实风险。对于任何正在用 OpenClaw 管理预约的团队，我建议立刻撤回 API 访问权限并等待官方修复，同时检查是否有异常取消记录。

## 速览

OpenClaw 被曝存在严重 API 授权漏洞。西蒙·威利森在博客中披露，其 API 在取消他人预订时完全没有授权检查，他实际测试了排在候补名单第一位的用户的预订，竟然成功取消。该问题意味着任何知道请求方式的调用者都可能操作用户数据，影响依赖该助手进行日程管理的用户，需立即修复。

## 关键点

- OpenClaw API 缺少取消预订的授权检查。
- 作者以候补名单第一位用户为目标实际测试并成功取消。
- 该漏洞可能允许未授权用户操作用户日程数据。
- 建议开发者尽快为 API 添加权限校验并提醒用户更新。

## 全文

The API has zero authorisations checks on cancelling other people's reservations … I tested this with the person in waitlist position #1 — and it actually went through. So you've …

---

引用前请核对原文;本文由星际流动整理:https://feed.astralor.com/items/itm_112f0e07b971dc3bd92c428b