CVE-2026-68927 in MobSF
الملخص
بحسب VulDB • 18/08/2026
تُعد MobSF أداة لاختبار أمان التطبيقات المحمولة المستخدمة. قبل الإصدار 4.5.1، كانت الدالة `get_browsable_activities` في الملف `mobsf/StaticAnalyzer/views/android/manifest_analysis.py` تتحقق فقط من قيمة `android:host` الخاصة بملف تعريف Android (Android manifest) باستخدام `valid_host` قبل إرفاق قيمة منفصلة ومُزوَّدة مسبقاً لـ `android:port` إلى عنوان URL الذي يتم جلبه بواسطة `_check_url`. وهذا يسمح لمستخدم مُصادَق عليه بتحميل ملف APK مُصاغ بشكل خبيث، مما يجعل الطلبات تصل إلى منفذ غير قياسي يحدده المهاجم عند المسار `/ .well-known/assetlinks.json`. وبوجود اسم مضيف يتحكم فيه المهاجم وإعادة ربط DNS (DNS rebinding) بين عملية التحقق واتصال `requests.get`، يمكن للطلب الوصول إلى خدمة داخلية، على الرغم من أن عمليات إعادة التوجيه (redirects) معطلة والمسار ثابت. تم إصلاح هذه المشكلة في الإصدار 4.5.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.