CVE-2026-68927 in MobSF
Zusammenfassung
von VulDB • 18.08.2026
MobSF ist ein Tool zur Sicherheitstestung mobiler Anwendungen. Vor Version 4.5.1 validiert `get_browsable_activities` in `mobsf/StaticAnalyzer/views/android/manifest_analysis.py` nur den Android-Manifest-Wert `android:host` mit `valid_host`, bevor es einen separat bereitgestellten Wert für `android:port` an die URL anhängt, die von `_check_url` abgerufen wird. Dies ermöglicht einem authentifizierten Benutzer, eine manipulierte APK-Datei hochzuladen, die Anfragen an einen vom Angreifer ausgewählten nicht standardmäßigen Port unter `/ .well-known/assetlinks.json` sendet. Durch einen vom Angreifer kontrollierten Hostnamen und DNS-Rebinding zwischen der Validierung und der `requests.get`-Verbindung kann die Anfrage einen internen Dienst erreichen, obwohl Umleitungen deaktiviert sind und der Pfad festgelegt bleibt. Dieses Problem wurde in Version 4.5.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.