يحتوي البرنامج على مشكلة حقن الأوامر في البرنامج النصي `scripts/update-clawtributors.ts`. ويؤثر ذلك على المساهمين أو القائمين على الصيانة، وأنظمة التكامل المستمر (CI)، الذين يقومون بتنفيذ `bun scripts/update-clawtributors.ts` على نسخة من المصدر تحتوي على بريد إلكتروني خبيث لمؤلف الالتزام. يستخرج البرنامج النصي معلومات تسجيل الدخول إلى GitHub من بيانات تعريف مؤلف `git log` ويستخدمها في أمر شل عبر `execSync`. يمكن لسجل التزام مصمم خصيصًا حقن أحرف شل خاصة، مما يؤدي إلى تنفيذ أوامر عشوائية. لا يتأثر الاستخدام العادي لواجهة سطر الأوامر (CLI)، مثل `npm i -g openclaw`، لأن البرنامج النصي ليس جزءًا من واجهة سطر الأوامر المرفقة ولا يتم تنفيذه أثناء التشغيل الروتيني.