CVE-2026-54684
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w narzędziu jadx (wersje 1.5.2–1.5.5) pozwala na zapis plików poza docelowym katalogiem tymczasowym podczas rozpakowywania złośliwego pliku .xapk. Atakujący może umieścić plik JAR w katalogu plugins/dropins, który przy następnym uruchomieniu jadx zostanie załadowany jako wtyczka, umożliwiając wykonanie dowolnego kodu.
Ocena ryzyka
Organizacja ryzykuje przejęcie kontroli nad procesem jadx i wykonanie złośliwego kodu w kontekście użytkownika uruchamiającego narzędzie. Może to prowadzić do kradzieży danych, eskalacji uprawnień lub dalszego rozprzestrzeniania się ataku w środowisku IT.
Rekomendacja
Należy niezwłocznie zaktualizować jadx do wersji 1.5.6 lub nowszej. Przed aktualizacją unikaj otwierania plików .xapk z nieznanych źródeł i nie uruchamiaj jadx z katalogów nadrzędnych względem katalogu konfiguracyjnego.
Inne podatności w jadx
Zobacz wszystkie- CVE-2026-42447Niskie
W jadx-gui przed wersją 1.5.6 występuje podatność na wstrzykiwanie kodu HTML w zakładce Podsumowanie. Wynika to z braku odpowiedniego kodowania wartości arches i perArchCount pochodzących ze ścieżek plików .so w APK, co pozwala na wyświetlenie dowolnego kodu HTML.
- CVE-2026-42049Wysokie
Podatność w narzędziu jadx (wersje przed 1.5.6) pozwala na wstrzyknięcie kodu Groovy podczas eksportu zdekompilowanego APK jako projektu Gradle. Atakujący może przygotować złośliwy plik APK, który po dekompilacji i otwarciu projektu przez ofiarę wykonuje dowolny kod na jej maszynie.
Oryginalny opis (angielski, źródło NVD)
jadx is a Dex to Java decompiler. From 1.5.2 to 1.5.5, a malicious .xapk file can cause jadx to write attacker-controlled archive entry contents outside the intended XAPK plugin temporary unpack directory because XApkLoader resolves each entry name directly with tmpDir.resolve(fileName) after a CWD-based ZIP security check. When jadx is launched from a directory that is an ancestor of the config directory, the arbitrary write can plant a JAR in plugins/dropins, and the next jadx run loads the JAR with URLClassLoader and ServiceLoader, executing attacker-controlled plugin code. This issue is fixed in version 1.5.6.