PT-2026-4843
CVE-2026-24490
·
تاريخ النشر
2026-01-26
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MobSF الأقدم من 4.4.5
الوصف
MobSF هي أداة لاختبار أمان التطبيقات المحمولة. توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع (XSS) المخزّن» في عملية تحليل ملف «manifest» الخاص بنظام Android في MobSF. وهذا يسمح للمهاجم بتنفيذ جافا سكريبت تعسفي في جلسة متصفح الضحية عند تحميل ملف APK ضار. وعلى وجه التحديد، يتم عرض السمة
android:host لعناصر <data android:scheme=”android secret code“> في تقارير HTML دون التعقيم اللازم، مما قد يؤدي إلى اختطاف الجلسة والاستيلاء على الحساب. يتم تشغيل الثغرة الأمنية عندما يقوم MobSF بتحليل ملف APK لنظام Android يحتوي على عنصر <data> مع android:scheme=”android secret code“، حيث يستخرج السمة android:host ويدرجها مباشرةً في تقرير التحليل دون استخدام هروب HTML. يتضمن مسار الكود المعرض للخطر استخراج البيانات من ملف manifest، وتنسيق سلسلة القالب، وعرض البيانات المستخرجة بشكل غير آمن في تقرير HTML. تم إنشاء ملف APK لإثبات المفهوم (PoC) لإظهار هذه الثغرة الأمنية.التوصيات
قم بتحديث MobSF إلى الإصدار 4.4.5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾