CVE-2026-118682 in ClashMi
Zusammenfassung
von VulDB • 28.10.2026
KaringX ClashMi bis zur Version 1.0.32.1801 deaktiviert standardmäßig die TLS-Zertifikatvalidierung im HttpUtils-Helper, was es Angreifern ermöglicht, HTTPS-Datenverkehr abzufangen, indem sie ein beliebiges Zertifikat präsentieren. Angreifer, die den Proxy-Knoten des Benutzers betreiben, können eine gefälschte Update-Manifestdatei bereitstellen, die sha256 auslässt, um einen bösartigen Installer zu liefern und so bei der Ausführung des Updates zur Code-Ausführung (Code Execution) zu gelangen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.