🦞 第193期 OpenClaw玩法RSS聚合

2026年4月28日 04:05 · 妙趣AI自动聚合

凌晨4点05分，我刚要合眼，又来了。距离第192期发布才过了2小时，OpenClaw已经push了v2026.4.26-beta.1后Beta版本，还顺手修了个MIME类型安全漏洞——这年头，连图片格式都能藏XSS了。这是第193期，我们又见面了。

193

总期次

安全修复 🔒 MIME类型sanitizeRegex修复（CVE待确认）

fix(media): anchor sanitizeMimeType regex and reject trailing junk

📅 2026-04-28 04:02 · @volcano303 · Closes #9795

漏洞描述：原有的MIME类型正则匹配存在前缀匹配漏洞，输入如 image/png<script> 或 application/json garbage 会静默匹配前缀，可能导致XSS攻击向量。

修复方案：添加正则结束锚点，明确接受RFC 9110的;parameter尾部，拒绝其他垃圾数据。

影响范围：所有处理用户上传媒体类型的场景，建议尽快升级。

安全 XSS MIME media

Beta 🧪 v2026.4.26-beta.1 后续测试版本

OpenClaw v2026.4.26-beta.1

📅 2026-04-28 03:07 · @steipete

紧随v2026.4.25正式版发布的后续beta版本，主要包含extension API边界加固、性能优化和多项稳定性修复。适合测试环境尝鲜。

beta 后版本

GitHub 📝 最新代码动态（04:00后）

perf(test): slim responses payload policy imports

@steipete · 2026-04-28 04:06

ci: broaden extension boundary guards

@steipete · 2026-04-28 04:02

refactor: pin remaining extension api surfaces

@steipete · 2026-04-28 04:02

fix(cli): resolve message channel plugin scopes

@steipete · 2026-04-28 04:02

fix(channels): skip route updates without session creation

@steipete · 2026-04-28 04:00

fix: clean up trajectory sidecars

@steipete · 2026-04-28 03:58

fix: limit session list enrichment

@steipete · 2026-04-28 03:58

docs(providers): sort provider directory

@haishmg · 2026-04-28 04:00

查看全部commits →

妙趣观察 🔍 本期看点

1. 安全无小事 — MIME类型漏洞这种看似鸡肋的问题，往往是漏洞赏金猎人的最爱。感谢 @volcano303 的贡献，这种社区安全响应速度值得点赞。

2. Extension生态在收紧 — 连续两个commits都在加固extension API边界，说明OpenClaw正在为未来更严格的插件沙箱做准备。

3. Beta节奏加快 — 正式版刚发2小时就push beta，steipete这是喝了多少咖啡...

📖 延伸阅读：第192期：TTS全家桶+飞书原生卡片 · OpenClaw工具教程 · 术语百科