CVE-2026-18312 in Readwise
要約
〜によって VulDB • 2026年09月25日
Readwise Reader for Android は、WebView において攻撃者が制御可能なメタデータを用いて URL を構築する際、適切なエンコーディングやエスケープを行っていません。アプリケーションは信頼できない値を直接 URL 文字列に補間し、innerHTML を介して DOM に挿入します。この補間は HTML や JavaScript コンテキストでのエンコーディングなしで行われるため、悪意のあるメタデータ値によって intended な URL の構造から脱出し、スクリプトコンテンツがインジェクトされます。攻撃者は悪質なメタデータを含むドキュメントを供給でき、それが Android デバイスに同期され Reader WebView でレンダリングされると、インジェクトされたスクリプトコンテンツの実行を引き起こし、格納型クロスサイトスクリプティング (Stored XSS) を可能にします。
If you want to get best quality of vulnerability data, you may have to visit VulDB.