CVE-2026-104585

Podatność w MobSF przed wersją 4.5.1. Funkcja get_browsable_activities w pliku manifest_analysis.py waliduje tylko wartość android:host, a nie android:port, co pozwala uwierzytelnionemu użytkownikowi przesłać spreparowany APK, który wykonuje żądania do wybranego przez atakującego niestandardowego portu w ścieżce /.well-known/assetlinks.json. Z użyciem kontrolowanej nazwy hosta i DNS rebinding, żądanie może dotrzeć do wewnętrznego serwisu. Problem naprawiono w wersji 4.5.1.

MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność w funkcji unzip w mobsf/StaticAnalyzer/views/common/shared_func.py, która loguje pominięcie elementu archiwum przekraczającego ZIP_MAX_UNCOMPRESSED_FILE_SIZE, ale nie przechodzi do następnego elementu. Uwierzytelniony użytkownik może przesłać spreparowany plik ZIP lub APK, którego zbyt duży element zostanie rozpakowany na dysk, gdy łączny limit ZIP_MAX_UNCOMPRESSED_TOTAL_SIZE nie został jeszcze osiągnięty, potencjalnie wyczerpując miejsce na dysku i uniemożliwiając dalsze skanowanie. Problem naprawiono w wersji 4.5.1.

MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność polegającą na umieszczeniu django.middleware.csrf.CsrfViewMiddleware tylko w przestarzałym ustawieniu MIDDLEWARE_CLASSES i pominięciu go w aktywnej krotce MIDDLEWARE. Pozwala to zdalnemu atakującemu nakłonić zalogowaną ofiarę do wysłania żądań POST do uwierzytelnionych punktów końcowych, takich jak /delete_scan/, /upload/, /download_scan/, /change_password/, /create_user/ i /delete_user/. Może to usuwać skany, przesyłać lub pobierać aplikacje, zmieniać hasła lub zarządzać użytkownikami z uprawnieniami ofiary. Problem naprawiono w wersji 4.5.1.

MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność w funkcji find_icon_path_zip w mobsf/StaticAnalyzer/views/android/icon_analysis.py, która używa wartości android:icon z manifestu Androida do konstruowania ścieżek w katalogu zasobów skanu bez odrzucania przechodzenia po ścieżkach lub weryfikacji zawartości. Uwierzytelniony użytkownik może przesłać spreparowany plik ZIP lub APK, który odczytuje plik serwera z sufiksem ALLOWED_EXTENSIONS, kopiuje go do DWD_DIR jako przewidywalną nazwę -icon. i pobiera go przez punkt końcowy /download/. To samo zachowanie zapewnia wyrocznię istnienia plików przez pole raportu icon_path. Problem naprawiono w wersji 4.5.1.