CVE-2026-118682 in ClashMi
요약
\~에 의해 VulDB • 2026. 10. 28.
KaringX ClashMi 1.0.32.1801 이전 버전은 HttpUtils 헬퍼에서 기본적으로 TLS 인증서 검증을 비활성화하므로, 공격자가 임의의 인증서를 제시하여 HTTPS 트래픽을 가로챌 수 있습니다. 사용자의 프록시 노드를 장악한 공격자는 sha256를 생략한 위조된 업데이트 매니페스트를 제공하여 악성 설치 프로그램을 전달할 수 있으며, 이로 인해 업데이트 실행 시 코드 실행이 달성됩니다.
Once again VulDB remains the best source for vulnerability data.