CVE-2026-102667
WysokieCVSS 8.3Streszczenie
Aplikacja Joyland AI pozwala atakującemu z dostępem do współdzielonej sieci na wstrzyknięcie JavaScript do treści ładowanej w WebView. Bez uprawnień nadanych przez użytkownika, atakujący może uzyskać dostęp do schowka, wysyłać dowolne żądania HTTP za pomocą modułu 'stream' Weex lub uzyskać dostęp do wewnętrznego magazynu aplikacji. Jeśli aplikacja ma wcześniej nadane uprawnienia, atakujący może uzyskać dostęp do całego systemu plików, kamery, mikrofonu i śledzenia GPS.
Ocena ryzyka
Atakujący może wykraść dane wrażliwe, przejąć kontrolę nad urządzeniem lub szpiegować użytkownika, co stanowi poważne zagrożenie dla prywatności i bezpieczeństwa.
Rekomendacja
Zaktualizuj aplikację Joyland AI do wersji z poprawką lub ogranicz zaufanie do aplikacji. Dodatkowo nie udzielaj niepotrzebnych uprawnień i korzystaj z bezpiecznych sieci.
Inne podatności w Joyland AI
Zobacz wszystkie- CVE-2026-102671Średnie
Aplikacja Joyland AI domyślnie akceptuje nieprawidłowe certyfikaty SSL w niewidocznym WebView reklamowym. Może to pozwolić na ataki man-in-the-middle i przechwycenie danych przesyłanych w tym WebView.
- CVE-2026-102670Średnie
Aplikacja Joyland AI wyraźnie zezwala na ruch HTTP w postaci czystego tekstu w systemie Android 9+, gdzie domyślnie jest on blokowany. Może to prowadzić do przechwycenia danych przesyłanych bez szyfrowania.
- CVE-2026-102669Średnie
Aplikacja Joyland AI nie weryfikuje nazw hostów, co pozwala złośliwemu hostowi na połączenie się lub przechwycenie wiadomości czatu. Może to prowadzić do ataków man-in-the-middle i kradzieży danych.
- CVE-2026-102668Średnie
Aplikacja Joyland AI akceptuje dowolne certyfikaty TLS z dowolnego serwera bez ich weryfikacji. Oznacza to, że połączenia sieciowe nie są bezpieczne i mogą być podsłuchiwane lub modyfikowane przez atakującego.
- CVE-2026-102666Średnie
Aplikacja Joyland AI zawiera zakodowane na stałe poświadczenia do usługi powiadomień push GeTui, co pozwala atakującemu na dostęp do API GeTui i wysyłanie powiadomień push z dowolną treścią do dowolnego użytkownika, grupy użytkowników lub wszystkich użytkowników aplikacji jednocześnie.
Oryginalny opis (angielski, źródło NVD)
Joyland AI app allows an attacker with shared network access to inject JavaScript into content loaded in WebView. Without user-granted permissions, an attacker could access the clipboard, make arbitrary HTTP requests via the Weex 'stream' module, or access app-internal storage. If the installed app has been granted permissions previously, the attacker can access the entire file system, camera, microphone, and GPS tracking.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS