PT-2026-77246
CVE-2026-68927
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-08-19
الوصف من
CVSS 3.1
3.0
منخفضةالمقاييسAV:N/AC:H/PR:H/UI:N/S:C/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MobSF الأقدم من 4.5.1
الوصف
يمكن لمستخدم معتمد تحميل ملف APK مُعدّ خصيصًا لإطلاق طلبات إلى منفذ غير قياسي يختاره المهاجم على العنوان /.well-known/assetlinks.json. يحدث هذا لأن الدالة
get browsable activities الموجودة في mobsf/StaticAnalyzer/views/android/manifest analysis.py تقوم فقط بالتحقق من صحة قيمة android:host باستخدام valid host قبل إضافة قيمة android:port المقدمة بشكل منفصل إلى عنوان URL الذي تتم معالجته بواسطة check url. باستخدام اسم مضيف يتحكم فيه المهاجم وإعادة ربط DNS — وهي تقنية يقوم فيها خادم DNS بتغيير عنوان IP لنطاق ما بين وقت التحقق ووقت الاتصال — يمكن للطلب الوصول إلى خدمة داخلية، على الرغم من تعطيل عمليات إعادة التوجيه وبقاء المسار ثابتًا.التوصيات
التحديث إلى الإصدار 4.5.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾