CVE-2026-68927 in MobSF
요약
\~에 의해 VulDB • 2026. 08. 19.
MobSF는 모바일 애플리케이션 보안 테스트에 사용되는 도구입니다. 버전 4.5.1 이전의 `mobsf/StaticAnalyzer/views/android/manifest_analysis.py` 내 `get_browsable_activities` 함수는 URL을 가져오는 `_check_url` 호출 시, 별도로 제공된 `android:port`를 추가하기 전에 Android 매니페스트의 `android:host` 값만 유효한 호스트(`valid_host`)로 검증합니다. 이로 인해 인증된 사용자가 공격자가 지정한 비표준 포트에서 `/ .well-known/assetlinks.json`으로 요청을 수행하도록 하는 조작된 APK 파일을 업로드할 수 있습니다. 공격자가 제어하는 호스트명과 `requests.get` 연결 시점 사이에 DNS 리바인딩(DNS rebinding)이 발생하면, 리디렉션은 비활성화되고 경로가 고정되어 있더라도 내부 서비스에 도달할 수 있습니다. 이 문제는 버전 4.5.1에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.