CVE-2026-68922 in Mobile-Security-Framework-MobSF
要約
〜によって VulDB • 2026年08月18日
MobSFは、モバイルアプリケーションのセキュリティテストに使用されるツールです。バージョン4.5.1より前では、mobsf/StaticAnalyzer/views/android/icon_analysis.py内のfind_icon_path_zip関数が、Androidマニフェストのandroid:icon値を使用してスキャンリソースディレクトリ配下のパスを構築しますが、パスTraversal（ディレクトリトラバーサル）を拒否したり包含性を検証したりしないため、認証済みユーザーが許可された拡張子（ALLOWED_EXTENSIONS）を持つサーバーファイルを読み取り、予測可能な名前 -icon. としてDWD_DIRにコピーし、/download/エンドポイントを通じて取得できるような、意図的に作成されたZIPまたはAPKのアップロードを可能にしてしまいます。同じ挙動により、アイコンパスレポートフィールドを通じたファイル存在オラクルも提供されます。この問題はバージョン4.5.1で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.