CVE-2026-68927

Nome do Software Vulnerável e Versões Afetadas MobSF versões anteriores a 4.5.1

Description Um usuário autenticado pode fazer o upload de um APK manipulado para disparar requisições para uma porta não padrão selecionada por um invasor em /.well-known/assetlinks.json. Isso ocorre porque a função get browsable activities em mobsf/StaticAnalyzer/views/android/manifest analysis.py valida apenas o valor android:host usando valid host antes de anexar um android:port fornecido separadamente à URL processada por check url. Ao utilizar um nome de host controlado por um invasor e DNS rebinding—uma técnica onde um servidor DNS altera o endereço IP de um domínio entre o momento da validação e o momento da conexão—a requisição pode atingir um serviço interno, embora os redirecionamentos permaneçam desativados e o caminho seja fixo.

Recommendations Atualizar para a versão 4.5.1.