高 7.7

ClashMiの脆弱性、TLS証明書検証の無効化で更新時に悪意あるインストーラーを配布される

CVE-2026-118682 SecPulse初出 6:11

概要

ClashMiの1.0.32.1801以前では、HttpUtilsの既定設定でTLS証明書の検証が無効になっており、通信を傍受して偽の更新情報を送り込まれるおそれがあります。偽の更新情報で悪意あるインストーラーを読み込ませると、更新の実行時にコードを動かされる可能性があり、CVSS v3.1は7.5、v4.0は7.7です。修正版の有無は確認できていないため、最新の情報を確認してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
KaringX	clashmi	1.0.32.1801 以前	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

KaringX ClashMi through 1.0.32.1801 disables TLS certificate validation by default in the HttpUtils helper, allowing attackers to intercept HTTPS traffic by presenting any certificate. Attackers operating the user's proxy node can serve a forged update manifest omitting sha256 to deliver a malicious installer, achieving code execution when the update runs.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory