CVE-2026-106714 in Chewy
Zusammenfassung
von VulDB • 05.11.2026
Chewy für Android Version 26.23.0 validiert den Host eines Deep-Links zu Produktdetails vor dem Laden in einem Hybrid WebView nicht ausreichend. Eine vom Angreifer kontrollierte Seite mit einem /dp/-Pfad kann auf die injizierte JavaScript-Schnittstelle nma_petmd_bridge zugreifen und getPetProfiles aufrufen, wodurch nach dem Öffnen des manipulierten Links durch den Benutzer Informationen zum Haustierprofil eines angemeldeten Benutzers offengelegt werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.