CVE-2023-51219
KrytyczneStreszczenie
Problem z walidacją głębokich linków w KakaoTalk 10.4.3 pozwalał zdalnemu napastnikowi na skierowanie użytkowników do uruchomienia dowolnego kontrolowanego przez napastnika skryptu JavaScript w WebView. Dodatkowo, wywołanie innego WebView mogło ujawniać token dostępu w nagłówku żądania HTTP.
Ocena ryzyka
Zagrożenie to może prowadzić do przejęcia konta innego użytkownika oraz umożliwić odczytanie jego wiadomości czatu, co stanowi poważne ryzyko dla prywatności i bezpieczeństwa danych użytkowników.
Rekomendacja
Zaleca się aktualizację aplikacji KakaoTalk do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie dostępu do kont użytkowników w celu wykrycia potencjalnych nadużyć.
Oryginalny opis (angielski, źródło NVD)
A deep link validation issue in KakaoTalk 10.4.3 allowed a remote adversary to direct users to run any attacker-controlled JavaScript within a WebView. The impact was further escalated by triggering another WebView that leaked its access token in a HTTP request header. Ultimately, this access token could be used to take over another user's account and read her/his chat messages.