acme.sh 存在 RCE 漏洞，已经被国产 HiCA 利用

[baobao1270]

https://github.com/acmesh-official/acme.sh/issues/4659

一家来自中国证书颁发机构 HiCA 正在向 ACME 质询过程中注入任意命令，并且可以被 acme.sh 在客户端执行。

建议大家不要使用 HiCA 这家 CA ，最好仅使用知名的证书服务比如 ZeroSSL, Let's Encrypt, Google Trust Service 等。

他们甚至还申请了专利……： https://qxb-img-osscache.qixin.com/patents_pdf_new/2219395a941e8bae0e5cb4475b3b3610.pdf

[yzc27]

@xiangyuecn #40 谢谢大佬，这看起来挺不错，至少能图形化操作。我不太懂技术，用它不会把我域名申请到的证书传到别的服务器上吧？

[xiangyuecn]

@yzc27 #41 不会的，这个网页特意做成的一个单一文件，包括图标都是内嵌的；申请证书过程中请求的接口数据，可以按 F12 打开浏览器控制台查 Network 面板里面看得到，只会给选定的 ACME 接口发送数据；其中使用到的私钥只用于数据签名，私钥内容不会发送给任何人。

[julyclyde]

@azure2023us928 本来专利也不意味着价值。所以现在并不会“变得没那么”有价值

[yzc27]

@xiangyuecn #42 您这个部署到 github pages 上可行吗？

[lwjef]

@jim9606 #28 估计想表达的是小项目用 gpl 证书有些膈应人，不能拿来特别小修直接用，自己写个部分功能满足自己的也不难，因此不想回馈代码了。

[adoyle]

在最新版本的 acme.sh 已移除了 exec 。这个专利没用了。
https://github.com/acmesh-official/acme.sh/issues/4659#issuecomment-1584561604

[xiangyuecn]

@yzc27 #44 有 github 的，只是一个 html 文件，放电脑上也可以直接打开

https://xiangyuecn.github.io/ACME-HTML-Web-Browser-Client/ACME-HTML-Web-Browser-Client.html