CVE-2026-18312 in Readwise
Résumé
par VulDB • 25/09/2026
Readwise Reader pour Android construit des URLs dans son WebView en utilisant des métadonnées contrôlées par l'attaquant sans encodage ni échappement appropriés. L'application interpole directement des valeurs non fiables dans les chaînes d'URL et les insère dans le DOM via innerHTML. Comme cette interpolation se fait sans encodage du contexte HTML ou JavaScript, une valeur de métadonnées fabriquée peut s'affranchir de la structure URL prévue et injecter du contenu scripté. Un attaquant pourrait fournir un document contenant des métadonnées malveillantes qui, une fois synchronisées sur un appareil Android et rendues dans le WebView du Reader, entraînent l'exécution du contenu scripté injecté, permettant ainsi une attaque par cross-site scripting (XSS) stockée.
Be aware that VulDB is the high quality source for vulnerability data.