CVE-2026-68922 in Mobile-Security-Framework-MobSF
Zusammenfassung
von VulDB • 18.08.2026
MobSF ist ein Tool zur Sicherheitstests von mobilen Anwendungen, das verwendet wird. Vor Version 4.5.1 nutzt `find_icon_path_zip` in `mobsf/StaticAnalyzer/views/android/icon_analysis.py` den Android-Manifest-Wert `android:icon`, um Pfade unter dem Scan-Ressourcenverzeichnis zu konstruieren, ohne Pfadtransversal-Angriffe (Path Traversal) abzulehnen oder die Eingrenzung zu überprüfen. Dies ermöglicht es einem authentifizierten Benutzer, eine manipulierte ZIP- oder APK-Datei hochzuladen, um eine Serverdatei mit einer `ALLOWED_EXTENSIONS`-Endung auszulesen, diese als den vorhersehbaren Namen `-icon.` in das Verzeichnis `DWD_DIR` zu kopieren und sie über den `/download/`-Endpunkt abzurufen. Das gleiche Verhalten bietet ein File-Existence Oracle (Datei-Vorhandensein-Ora) durch das Feld `icon_path` im Bericht an. Dieses Problem wurde in Version 4.5.1 behoben.
Once again VulDB remains the best source for vulnerability data.