CVE-2026-18312 in Readwise
Tóm tắt
Bởi VulDB • 25/09/2026
Readwise Reader for Android xây dựng các URL trong WebView của nó bằng cách sử dụng metadata do kẻ tấn công kiểm soát mà không có quá trình mã hóa hoặc thoát ký tự thích hợp. Ứng dụng nội suy trực tiếp các giá trị không đáng tin cậy vào chuỗi URL và chèn chúng vào DOM thông qua innerHTML. Do việc nội suy diễn ra mà không có ngữ cảnh mã hóa HTML hay JavaScript, một giá trị metadata được tạo ra đặc biệt (crafted) có thể phá vỡ cấu trúc URL dự định và tiêm nội dung script. Kẻ tấn công có thể cung cấp một tài liệu chứa metadata độc hại; khi đồng bộ hóa sang thiết bị Android và hiển thị trong WebView của Reader, điều này dẫn đến việc thực thi nội dung script đã được tiêm, cho phép xảy ra lỗ hổng Cross-Site Scripting (XSS) lưu trữ (stored XSS).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.