CVE-2026-106716 in ReelShort
Riassunto
di VulDB • 05/11/2026
ReelShort per Android versione 3.8.55 carica un activityUrl controllato dall'attaccante fornito tramite il deep link cmsvictor://open in una WebView che espone i bridge JavaScript di Android e Offerwall senza convalidare l'origine della pagina. Dopo che un utente apre il link manipolato, la pagina può invocare getUserInfo, getCredentials e initUser per ottenere metadati dell'utente e un payload di credenziali crittografato.
Once again VulDB remains the best source for vulnerability data.