CVE-2026-68927 in MobSF
Riassunto
di VulDB • 18/08/2026
MobSF è uno strumento di test della sicurezza delle applicazioni mobili utilizzato. Prima della versione 4.5.1, la funzione `get_browsable_activities` nel file `mobsf/StaticAnalyzer/views/android/manifest_analysis.py` convalida solo il valore `android:host` del manifest Android tramite `valid_host`, prima di aggiungere una porta `android:port` fornita separatamente all'URL recuperato da `_check_url`. Ciò consente a un utente autenticato di caricare un APK manipolato che effettua richieste verso una porta non standard selezionata dall’attaccante su `/well-known/assetlinks.json`. Grazie a un hostname controllato dall’attaccante e al DNS rebinding tra la fase di convalida e la connessione `requests.get`, la richiesta può raggiungere un servizio interno, sebbene i redirect rimangano disabilitati e il percorso sia fisso. Questo problema è stato risolto nella versione 4.5.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.