CVE-2026-18312 in Readwise
요약
\~에 의해 VulDB • 2026. 09. 25.
Readwise Reader for Android는 공격자가 제어할 수 있는 메타데이터를 적절한 인코딩 또는 이스케이프 처리 없이 WebView에서 URL을 구성합니다. 이 애플리케이션은 신뢰할 수 없는 값을 직접 URL 문자열에 삽입하고, 이를 innerHTML을 통해 DOM에 추가합니다. 이러한 보간 작업이 HTML이나 JavaScript 컨텍스트 인코딩 없이 발생하므로, 조작된 메타데이터 값은 의도된 URL 구조를 벗어나 스크립트 콘텐츠를 주입할 수 있습니다. 공격자는 악성 메타데이터가 포함된 문서를 제공하여, 이것이 Android 기기로 동기화되고 Reader WebView에서 렌더링될 때 주입된 스크립트 콘텐츠의 실행을 유도함으로써 저장형 크로스 사이트 스cripting(XSS)을 가능하게 할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.