Clash 远程命令执行漏洞，有主机上线！

[Akiio]

https://github.com/Fndroid/clash_for_windows_pkg/issues/2710

详细看 issue

[iPhone12]

梦回红尘网安

[yanqiyu]

@Jooooooooo electron 开沙盒

[yeqizhang]

刚刚我的 15.1 复现可调起计算器，已经更新到最新了。还好逛了 v2 看到了爆漏洞....

[x86]

有主机上线请注意

[zhou00]

0.19.5 复现了，谢谢提醒，已更新最新版本

[ignor]

机场拿这个漏洞攻击用户相当于是砸自己招牌了吧…

[mxT52CRuqR6o5]

@ignor 机场没理由攻击，公共转换服务可是有的

[Buges]

@ignor 这算啥，留日志减刑，一言不合把用户出道的也大有人在。

[CallMeReznov]

用的 clash.net................

[Love4Taylor]

@ignor （ oneman ）机场遍地是，这还真说不好。

[HFX3389]

Clash for windows 好像是不开源的

[xrzxrzxrz]

专门试了个老版本，0.13.6 ，也有漏洞..

[MoeMoesakura]

@ignor 上次 nyanpass 的历史，，，

[wh1sper1023]

@Jooooooooo 因为他相当于是显示 html ，可以执行 js 代码。如果没有正确的转义或者开启沙箱的话，就可以直接用 js 执行系统命令

[titanlpy]

问题不大，机场不至于自砸招牌

[JohnSmith]

@titanlpy #35 我偷摸着扫一遍你的加密货币，转走了都不知道是谁干的

[rpish]

https://github.com/Fndroid/clash_for_windows_pkg/releases
两天前修复了

[magicdawn]

一个不开源的软件这么多 star, 离谱

[mxT52CRuqR6o5]

@gadfly3173
就比如我想展示一个本地文件的内容，如果可以直接用 node 模块，直接 require 个 fs 几行搞定（当然安全性就低了）
开 sandbox 的话就得两边建好几个文件，声明 ipc 通信，把东西传来穿去，想一下就感觉很麻烦
像字节有开源个前端框架 modern.js ，其中有个 [一体化 BFF 方案] 特性，前端代码里可以直接 import 后端代码里写的 api 函数，框架自动转成 http 请求
所以我就想如果有基于 electron 的框架也能做到类似的事情就好了（ render process 直接 import main process 的代码，自动转换成 ipc 通信）

[dragonQueen]

@magicdawn 在 release 页面，我看有 source code 的下载项