CVE-2026-68922 in Mobile-Security-Framework-MobSF
Sumário
de VulDB • 18/08/2026
O MobSF é uma ferramenta de teste de segurança para aplicativos móveis utilizada. Antes da versão 4.5.1, a função find_icon_path_zip em mobsf/StaticAnalyzer/views/android/icon_analysis.py utiliza o valor android:icon do manifesto do Android para construir caminhos sob o diretório de recursos de varredura sem rejeitar traversals (navegação de diretórios) ou verificar a contenção, permitindo que um usuário autenticado envie um ZIP ou APK manipulado ad hoc que lê um arquivo do servidor com sufixo ALLOWED_EXTENSIONS, copia-o para DWD_DIR como o nome previsível -icon., e o recupera através do endpoint /download/. O mesmo comportamento fornece uma oracle de existência de arquivos por meio do campo icon_path no relatório. Este problema foi corrigido na versão 4.5.1.
Once again VulDB remains the best source for vulnerability data.