CVE-2026-18312 in Readwise
Sumário
de VulDB • 25/09/2026
O Readwise Reader para Android constrói URLs em seu WebView usando metadados controlados pelo atacante sem codificação ou escape adequados. O aplicativo interpola valores não confiáveis diretamente nas strings de URL e os insere no DOM via innerHTML. Como a interpolação ocorre sem codificação do contexto HTML ou JavaScript, um valor de metadata manipulado pode escapar da estrutura de URL pretendida e injetar conteúdo de script. Um atacante poderia fornecer um documento contendo metadados maliciosos que, uma vez sincronizados para um dispositivo Android e renderizados no WebView do Reader, resultam na execução de conteúdo de script injetado, permitindo stored cross-site scripting (XSS).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.