文章总结： 微信Linux版存在1-Click命令注入漏洞，攻击者构造包含反引号包裹命令的恶意文件名，目标用户点击文件后触发命令执行。漏洞源于程序未对文件名特殊字符充分过滤，危害严重且利用简单。建议用户避免点击含异常字符的文件，临时改用网页版或停止使用Linux版微信。 综合评分： 78 文章分类： 漏洞分析,漏洞预警,终端安全,应急响应,应用安全

微信 Linux 版 最新版本 1-Click 命令注入漏洞【已复现】

湘安无事

2026年2月10日 17:40 湖南

编者荐语：

棒棒

以下文章来源于redcell的安全屋 ，作者redcell的安全屋

redcell的安全屋 .

此公众号为个人网络安全的经验分享以及适合小白的网络安全基础学习

01前言

近日，看到有人发布这样的内容：

02 漏洞描述

其实就是程序在处理接收文件时，未对文件名中的特殊字符进行充分校验与过滤，攻击者可构造包含恶意命令的文件名并发送给目标用户。当受害者点击该文件后，程序在后续处理过程中触发命令注入，从而在受害者系统中执行任意命令。

用人话讲就是微信 linux版本存在1click rce，只需要将文件名使用反引号包裹命令，目标点击文件即可执行。（引用某公众号的原话）

03 漏洞复现

文件名字可以弄长一点这样就可以不易发现下面我的名字就是（我以弹出计算器简单为例简单复现）：

中国工业软件行业发展研究报告：慢行业下需坚守长期主义之路-艾瑞咨询;kcalc.txt

04 修复建议

 •  避免点击或打开文件名中包含异常特殊字符或可疑内容的文件。

 •  临时使用微信网页版（https://web.wechat.com/）。

 • 暂时不使用用微信liunx版本

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：湘安无事 《微信 Linux 版 最新版本 1-Click 命令注入漏洞【已复现】》