Résumé
généré automatiquement à partir des données NVDKaringX ClashMi, jusqu'à la version 1.0.32.1801, désactive par défaut la validation des certificats TLS dans son helper HttpUtils (CWE-295), ce qui permet d'intercepter le trafic HTTPS en présentant n'importe quel certificat. Un attaquant opérant le nœud proxy de l'utilisateur peut servir un manifeste de mise à jour falsifié sans sha256 pour livrer un installateur malveillant, d'où une exécution de code au lancement de la mise à jour. Score CVSS v3.1 : 7.5 (HIGH).
Description NVD (anglais)
KaringX ClashMi through 1.0.32.1801 disables TLS certificate validation by default in the HttpUtils helper, allowing attackers to intercept HTTPS traffic by presenting any certificate. Attackers operating the user's proxy node can serve a forged update manifest omitting sha256 to deliver a malicious installer, achieving code execution when the update runs.
EPSS · FIRST.org
0,27 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 19 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 30 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 28 oct. 2026
- Mis à jour
- 29 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (6)
CVEs similaires
Autres vulnérabilités de type CWE-295
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.