Clash Verge 爆出高危 RCE 漏洞，全球逾 1.3 万用户受影响
2025年5月19日，Goby 安全团队披露 Clash Verge 存在远程命令执行（RCE）漏洞。该漏洞允许攻击者通过构造恶意网页，在用户毫无察觉的情况下修改 Mihomo（Clash 核心）配置，进而实现任意文件写入、断网或远程控制。更严重的是，所有开启 Web 控制服务的 Clash 系列软件均受影响。
漏洞范围与利用方式：
• 默认暴露端口（9090/9097）：所有历史版本 Clash（≤2.2.4）和 Mihomo（≤v1.19.8）默认开启 Web 控制端口。
• 攻击链：利用 CORS 跨域绕过+路径穿越，通过 REST API 上传恶意配置，触发 UI 模块异常或实现恶意 ZIP 文件写入，最终可能劫持代理或执行系统命令。
• 影响用户：FOFA 查询显示公网暴露用户已超 13,700 个。
可能造成的后果包括：
1. 代理配置被劫持，敏感流量（如密码、交易信息）被窃取。
2. 恶意脚本下载后执行，实现系统完全控制（RCE）。
3. 强制断网、界面异常等干扰用户使用。
修复建议：
• 立即升级：将 Clash 更新至 ≥v2.3.0，Mihomo 升级至 ≥v1.20.1。
• 关闭端口：关闭或限制 Web 控制服务的访问，避免暴露至公网。
• 审查配置：检查 external-ui 字段设置，防止路径穿越攻击。
• 更换工具：使用非Clash 系列的软件工具，如Sing-box 等
该漏洞危害严重，建议用户立即采取补救措施，以避免遭受攻击。
