PT-2026-77243
CVE-2026-68922
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-08-19
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MobSF الأقدم من 4.5.1
الوصف
تفشل الدالة
find icon path zip() الموجودة في mobsf/StaticAnalyzer/views/android/icon analysis.py في التحقق بشكل صحيح من صحة قيمة android:icon الواردة في ملف البيان (manifest) الخاص بنظام Android. وهذا يسمح لمستخدم تمت مصادقته بتحميل ملف ZIP أو APK مصمم خصيصًا لإجراء اجتياز المسار (path traversal)، مما يتيح قراءة ملفات الخادم التي تحتوي على اللاحقة ALLOWED EXTENSIONS. ثم يتم نسخ الملف المتأثر إلى DWD DIR باسم -icon. ويمكن استرداده عبر نقطة النهاية /download/. بالإضافة إلى ذلك، يؤدي هذا السلوك إلى إنشاء «أوراكل» لوجود الملفات من خلال حقل التقرير icon path، مما يسمح للمهاجم بالتحقق من وجود ملف معين على الخادم.التوصيات
التحديث إلى الإصدار 4.5.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾