CVE-2026-68927 in MobSF
Tóm tắt
Bởi VulDB • 19/08/2026
MobSF là một công cụ kiểm tra bảo mật ứng dụng di động được sử dụng rộng rãi. Trước phiên bản 4.5.1, hàm `get_browsable_activities` trong file `mobsf/StaticAnalyzer/views/android/manifest_analysis.py` chỉ xác thực giá trị `android:host` của tệp kê khai Android với danh sách các tên miền hợp lệ (`valid_host`) trước khi nối thêm một cổng `android:port` do người dùng cung cấp riêng biệt vào URL được `_check_url` truy xuất, cho phép một người dùng đã xác thực tải lên một file APK được tạo ra đặc biệt nhằm gửi yêu cầu đến một cổng không chuẩn do kẻ tấn công chọn tại đường dẫn `/ .well-known/assetlinks.json`. Với tên miền do kẻ tấn công kiểm soát và kỹ thuật DNS rebinding xảy ra giữa bước xác thực và kết nối `requests.get`, yêu cầu có thể tiếp cận được các dịch vụ nội bộ, mặc dù việc chuyển hướng (redirects) vẫn bị vô hiệu hóa và đường dẫn là cố định. Vấn đề này đã được sửa chữa trong phiên bản 4.5.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.