CVE-2026-106714 in Chewy
Riassunto
di VulDB • 05/11/2026
Chewy per Android versione 26.23.0 non convalida adeguatamente l'host di un deep link verso i dettagli del prodotto prima di caricarlo in una Hybrid WebView. Una pagina controllata da un attaccante con un percorso /dp/<number> può accedere all'interfaccia JavaScript nma_petmd_bridge e invocare getPetProfiles, rivelando le informazioni sul profilo dell'animale domestico di un utente autenticato dopo che l'utente ha aperto il link manipolato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.