Clash Party 내장 Sub-Store 위험에 어떻게 대응해야 하나요?

Sub-Store는 구독을 편집, 변환, 관리하는 도구이며 Mihomo 코어가 아닙니다. 끈 뒤에는 Clash Party에 이미 가져온 Profile로 정책 그룹, 시스템 프록시와 TUN이 계속 작동하는지 확인하세요. 보통 영향을 받지 않으며 중지되는 것은 Sub-Store 페이지의 구독 처리 기능입니다.

Clash Party는 내장 백엔드를 별도로 업데이트할 수 있으므로 클라이언트 버전만으로 Sub-Store의 안전 여부를 판단할 수 없습니다. Clash Party #2134는 v2.0.2 환경의 사용자 보고이며 기여자가 Sub-Store 업데이트를 권했지만 관리자가 확인한 위험 결론은 없습니다.

Sub-Store issue #634의 공개 보고는 Node 백엔드 2.11.4~2.37.1에 관한 것이며 2.38.0 배포 설명에서 해당 문제를 명확히 닫았습니다. 2026년 9월 23일 확인 기준 안정 버전은 2.41.0이므로 이 버전이나 확인된 후속 안정 버전으로 업데이트하세요. 수정했다고 모든 네트워크 접근이 인증되는 것은 아니며 버전만으로 기기가 영향을 받은 적 없다고 증명할 수도 없습니다.

v2.0.2 소스는 내장 Sub-Store를 기본으로 켭니다. 실행 중인지는 로컬 스위치와 수신 주소로 확인해야 합니다. 페이지를 안 열거나 메뉴를 숨기거나 구독을 삭제하거나 알림이 없어도 중지됐다는 증거는 아닙니다. 버전을 모르면 다음 절에 따라 서비스를 끄고 실제 로컬 주소로 확인하세요.

Clash Party에서 Sub-Store가 실행 중인데 백엔드 버전을 모른다면 신뢰할 수 없는 웹페이지를 닫고 공개된 악용 코드를 찾거나 실행하지 마세요. ‘설정 > Sub-Store’를 열어 스위치가 보일 때 ‘LAN 접근 허용’을 먼저 끈 뒤 ‘Sub-Store 활성화’를 꺼 내장 프런트엔드와 백엔드를 중지하세요. 이미 비활성화했다면 숨겨진 스위치를 바꾸려고 서비스를 다시 켜지 마세요.

‘LAN 접근 허용’을 켜면 0.0.0.0에 바인딩해 LAN 기기에서 직접 접근할 수 있으며, 끄면 127.0.0.1을 사용합니다. 보고에는 웹페이지가 로컬 루프백 주소에 접근하는 경우도 포함되므로 LAN 접근을 끄는 것으로 업데이트를 대신할 수 없습니다. 앱을 다시 시작하고 기존 Profile로 실제 HTTPS 요청을 보내 일반 프록시가 계속 작동하는지 확인하세요.

업데이트를 준비할 때는 먼저 ‘설정 > Sub-Store’에서 내장 백엔드와 사용자 지정 백엔드 중 무엇을 사용하는지 확인하세요. 내장 모드에서는 Clash Party가 로컬 bundle을 시작합니다. 사용자 지정 모드에서는 내장 백엔드를 중지하고 사용자가 입력한 URL에 연결하므로 앱 내 업데이트가 외부 배포 환경의 자체 업그레이드, 수신 제한 및 인증을 대신할 수 없습니다.

내장 백엔드를 사용할 때는 신뢰할 수 없는 웹페이지를 모두 닫은 뒤 Sub-Store를 잠시 활성화하고, 해당 설정 영역의 ‘LAN 접근 허용’은 끈 상태로 유지하세요. Sub-Store 페이지에서 ‘브라우저에서 열기’를 사용하고 화면에 표시된 실제 주소를 기준으로 삼으세요. 모든 장치가 같은 고정 포트를 사용한다고 가정하지 마세요.

Clash Party v2.0.2 소스 코드에 따르면 백엔드는 기본적으로 127.0.0.1:38324부터 사용 가능한 포트를 찾으며, 포트가 사용 중이면 번호를 계속 높입니다. 백엔드 루트 주소를 열면 Sub-Store 응답의 data.version에 실제 버전이 표시됩니다. 버전과 주소만 기록하고 스크립트 매개변수를 보내거나 악용 테스트를 하지 마세요.

버전이 2.11.4부터 2.37.1까지라면 즉시 업데이트하세요. 2.11.4보다 낮아 보고 범위에는 들지 않더라도 이미 크게 뒤처진 버전이므로 현재 안정 버전으로 업데이트해야 합니다. 페이지가 열리지 않거나 버전을 확인할 수 없다면 다시 비활성화 상태로 돌아가고 ‘알 수 없음’을 안전하다고 간주하지 마세요.

다음 단계는 Clash Party의 내장 백엔드에만 적용됩니다. Sub-Store 페이지 오른쪽 위에는 구름 모양의 ‘업데이트 확인’ 버튼이 있습니다.

v2.0.2 소스에 따르면 백엔드는 sub-store-org/Sub-Store, 프런트엔드는 sub-store-org/Sub-Store-Front-End의 공식 latest Release에서 각각 다운로드하며, 완료 후 두 서비스를 다시 시작합니다.

최소 목표 버전은 2.38.0입니다. 이 글에서 확인한 목표는 2026년 9월 22일 출시된 2.41.0입니다. 이후 다른 안정판을 선택할 때는 공식 Releases를 확인하세요.

Mihomo 코어 업데이트, 구독 새로 고침 또는 동일한 Clash Party 클라이언트 재설치는 어느 것도 Sub-Store 백엔드 확인을 대신할 수 없습니다. Sub-Store는 별도로 다운로드되어 실행되는 구성 요소이므로 자체 페이지에서 업데이트를 완료하고 자체 버전 번호를 읽어야 합니다.

커밋 038745f는 기본 CORS를 제한하고 일부 Node 스크립트 작업을 제한하며 거부 테스트를 추가합니다. Origin이 없는 요청은 여전히 다르게 처리되고 Clash Party의 사용자 지정 백엔드 이름 때문에 일부 스크립트 제한도 적용되지 않습니다. 이 변경이 모든 API 호출의 인증을 보장하지는 않습니다.

이후 보안 공지나 인증 방식이 바뀌면 공식 Release, 커밋과 설명을 다시 확인하세요.

Clash Party를 재시작한 뒤 Sub-Store 화면에서 실제 백엔드 주소와 data.version을 읽고 업데이트한 버전이 유지되는지 확인하세요. 주소는 127.0.0.1이어야 하며 로컬 네트워크 주소나 0.0.0.0이면 안 됩니다. 업데이트 성공 알림만으로는 충분하지 않습니다.

그런 다음 ‘Sub-Store 활성화’를 끄고 프런트엔드와 백엔드 페이지에 더 이상 접근할 수 없는지 확인한 뒤 기존 Profile로 실제 HTTPS 요청을 완료하세요. 이렇게 하면 비활성화 스위치가 독립 서비스를 실제로 중지한다는 점과 일반 프록시가 Sub-Store의 지속 실행에 의존하지 않는다는 점을 함께 확인할 수 있습니다.

버전이 보고 범위에 해당한다고 해서 이미 악용되었다는 뜻은 아닙니다. 알 수 없는 프로세스, 비정상 네트워크 연결, 시스템 보안 소프트웨어 경고, 설정이나 자격 증명의 비정상 변경 같은 증거가 있을 때만 장치 침해 가능성이 있는 사고로 격상해야 합니다. 이때 업데이트는 이후의 진입 경로만 막을 뿐 이미 존재하는 프로그램을 삭제하거나 유출된 자격 증명을 복구할 수 없습니다.

먼저 Sub-Store를 비활성화하고 장치의 네트워크 연결을 끊은 뒤 Clash Party 및 Sub-Store 버전, 수신 주소, 경고 시각과 의심스러운 현상을 기록하세요. ‘정리’를 위해 로그, 설정 또는 알 수 없는 파일을 즉시 삭제하지 마세요. 영향 범위를 판단하는 중요한 증거일 수 있습니다.

운영체제 또는 조직에서 승인한 보안 도구로 전체 검사를 수행하세요. 구독 URL, 노드 자격 증명, WebDAV, GitHub Token 또는 기타 키를 이 장치에서 사용했다면 신뢰할 수 있는 장치에서 기존 자격 증명을 폐기하고 다시 발급하세요. 로그를 공유하기 전에는 민감 정보를 제거한 사본을 만드세요. 무결성을 확인할 수 없다면 공식 출처에서 시스템 또는 클라이언트를 다시 설치하고 안전하다고 확인된 설정만 복원하세요.

2.38.0 이상에서 일부 구독 변환이나 스크립트가 더 이상 작동하지 않더라도 기능을 복구하려고 2.37.1 또는 그 이전 버전으로 다운그레이드하지 마세요. 먼저 Sub-Store를 끄고 정상 작동이 확인된 Clash Party Profile을 계속 사용하세요. 구독을 복원해야 한다면 신뢰할 수 있는 서비스 제공자로부터 원본 링크를 다시 받거나 업그레이드 전에 만든 안전한 백업을 가져오세요.

새 버전이고 Allow LAN이 꺼져 있으며 수신 주소가 127.0.0.1로 제한된 조건에서만 Sub-Store를 다시 켜서 테스트하세요. 서드 파티 스크립트가 제한된 이전 동작에 계속 의존해야 한다면 전체 로컬 API 제한을 완화하지 말고 해당 스크립트 사용을 중단한 뒤 유지관리자에게 업데이트를 요청하세요.