CVE-2026-18312
ŚrednieCVSS 6.1Streszczenie
Readwise Reader dla Androida konstruuje URL-e w WebView przy użyciu kontrolowanych przez atakującego metadanych bez odpowiedniego kodowania lub escapowania. Aplikacja interpoluje niezaufane wartości bezpośrednio do stringów URL i wstawia je do DOM przez innerHTML. Ponieważ interpolacja odbywa się bez kodowania kontekstu HTML lub JavaScript, spreparowana wartość metadanych może wyrwać się z zamierzonej struktury URL i wstrzyknąć skrypt.
Ocena ryzyka
Atakujący może dostarczyć dokument ze złośliwymi metadanymi, które po synchronizacji na urządzenie z Androidem wykonają wstrzyknięty skrypt w WebView, co umożliwia trwały XSS i potencjalną kradzież danych.
Rekomendacja
Zaktualizuj Readwise Reader dla Androida do najnowszej wersji, która zawiera poprawkę dotyczącą kodowania metadanych.
Inne podatności w Readwise Reader
Zobacz wszystkie- CVE-2026-18320Średnie
Readwise Reader dla Androida używa konfiguracji sanitize-html, która zezwala na wszystkie atrybuty w elementach SVG i PATH z powodu reguły wildcard. Ta konfiguracja nie usuwa atrybutów zdolnych do wykonywania skryptów, takich jak event handlery (np. 'onload', 'onerror'). Atakujący może dostarczyć dokument z złośliwą zawartością SVG, która przetrwa sanityzację i wykona skrypt w WebView, co prowadzi do XSS po stronie klienta.
- CVE-2026-18311Średnie
Podatność XSS w aplikacji Readwise Reader dla Androida, wynikająca z braku sanityzacji HTML w przetwarzaniu metadanych importowanych dokumentów. Pola kontrolowane przez atakującego, takie jak metadane autora, są wstawiane do WebView przez innerHTML, umożliwiając trwały XSS, który wykonuje się na zsynchronizowanych urządzeniach podczas otwierania złośliwego dokumentu.
Oryginalny opis (angielski, źródło NVD)
Readwise Reader for Android constructs URLs in its WebView using attacker-controlled metadata without proper encoding or escaping. The application interpolates untrusted values directly into URL strings and inserts them into the DOM via innerHTML. Because the interpolation occurs without HTML or JavaScript context encoding, a crafted metadata value can break out of the intended URL structure and inject script content. An attacker could supply a document containing malicious metadata that, once synchronized to an Android device and rendered in the Reader WebView, results in execution of injected script content, enabling stored cross-site scripting (XSS)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS