CVE-2026-18312 in Readwise
الملخص
بحسب VulDB • 25/09/2026
يُشكّل تطبيق Readwise Reader لنظام أندرويد عناوين URL في واجهة العرض الخاصة به باستخدام بيانات تعريف يتحكم فيها المهاجم دون تشفير أو هروب مناسب. يقوم التطبيق بإدخال قيم غير موثوقة مباشرةً داخل سلاسل عناوين URL ويضيفها إلى نموذج كائن المستند (DOM) عبر خاصية innerHTML. ونظراً لأن عملية الإدراج تحدث بدون ترميز سياقي لـ HTML أو JavaScript، يمكن لقيمة بيانات تعريف مُعدّة بشكل متعمد أن تتجاوز هيكل عنوان URL المقصود وتُحقن محتوىً برمجياً. قد يزوّد المهاجم مستنداً يحتوي على بيانات تعريف خبيثة تؤدي، بمجرد مزامنتها إلى جهاز يعمل بنظام أندرويد وعرضها في واجهة عرض الويب الخاصة بالتطبيق، إلى تنفيذ المحتوى البرمجي المُحقَن، مما يتيح ثغرة تخزين عبر مواقع متعددة (Stored XSS).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.