CVE-2026-68922 in Mobile-Security-Framework-MobSF
Résumé
par VulDB • 18/08/2026
MobSF est un outil de test de sécurité des applications mobiles utilisé. Avant la version 4.5.1, la fonction `find_icon_path_zip` dans `mobsf/StaticAnalyzer/views/android/icon_analysis.py` utilise la valeur `android:icon` du manifeste Android pour construire des chemins sous le répertoire des ressources de scan sans rejeter les traversées ni vérifier l'containment (contenue), permettant à un utilisateur authentifié de télécharger une archive ZIP ou APK fabriquée qui lit un fichier serveur avec un suffixe ALLOWED_EXTENSIONS, le copie dans DWD_DIR sous le nom prévisible -icon., et le récupère via le point d'accès /download/. Le même comportement fournit une oracle d'existence de fichiers par l'intermédiaire du champ icon_path du rapport. Ce problème est corrigé dans la version 4.5.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.