CVE-2026-42049
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność w narzędziu jadx (wersje przed 1.5.6) pozwala na wstrzyknięcie kodu Groovy podczas eksportu zdekompilowanego APK jako projektu Gradle. Atakujący może przygotować złośliwy plik APK, który po dekompilacji i otwarciu projektu przez ofiarę wykonuje dowolny kod na jej maszynie.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu (RCE) na stacji roboczej analityka lub programisty, który otworzy lub zbuduje wyeksportowany projekt Gradle. Może to prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszego rozprzestrzeniania ataku w sieci wewnętrznej.
Rekomendacja
Należy niezwłocznie zaktualizować jadx do wersji 1.5.6 lub nowszej. Przed otwarciem wyeksportowanych projektów Gradle z nieznanych źródeł należy je ręcznie przejrzeć pod kątem podejrzanych fragmentów kodu.
Inne podatności w jadx
Zobacz wszystkie- CVE-2026-54684Wysokie
Podatność w narzędziu jadx (wersje 1.5.2–1.5.5) pozwala na zapis plików poza docelowym katalogiem tymczasowym podczas rozpakowywania złośliwego pliku .xapk. Atakujący może umieścić plik JAR w katalogu plugins/dropins, który przy następnym uruchomieniu jadx zostanie załadowany jako wtyczka, umożliwiając wykonanie dowolnego kodu.
- CVE-2026-42447Niskie
W jadx-gui przed wersją 1.5.6 występuje podatność na wstrzykiwanie kodu HTML w zakładce Podsumowanie. Wynika to z braku odpowiedniego kodowania wartości arches i perArchCount pochodzących ze ścieżek plików .so w APK, co pozwala na wyświetlenie dowolnego kodu HTML.
Oryginalny opis (angielski, źródło NVD)
jadx is a Dex to Java decompiler. Prior to 1.5.6, jadx inserts the android:versionName value from an AndroidManifest into the generated app/build.gradle Groovy template without proper sanitization when exporting a decompiled APK as an Android Gradle project. A malicious APK can break out of the string context so that opening or building the exported Gradle project executes attacker-controlled Groovy code on the victim machine. This issue is fixed in version 1.5.6.