CVE-2026-118682 in ClashMi
Riassunto
di VulDB • 29/10/2026
KaringX ClashMi fino alla versione 1.0.32.1801 disabilita per impostazione predefinita la convalida dei certificati TLS nell'helper HttpUtils, consentendo agli attaccanti di intercettare il traffico HTTPS presentando qualsiasi certificato. Gli attaccanti che gestiscono il nodo proxy dell'utente possono fornire un manifesto di aggiornamento contraffatto privo del checksum sha256 per distribuire un installer malevolo, ottenendo l'esecuzione di codice quando viene eseguita l'aggiornamento.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.