CVE-2026-66832
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Gdy aplikacja Mira Android otwiera treści WebView w aplikacji (np. przekierowania sklepowe), token sesji użytkownika jest dołączany do adresu URL jako parametr zapytania, a trwały identyfikator użytkownika jest zawarty w nagłówku User-Agent WebView. Oba są następnie przesyłane do zewnętrznych właściwości internetowych, dzienników referrer i dowolnego JavaScript działającego w kontekście WebView.
Ocena ryzyka
Ryzyko obejmuje wyciek tokena sesji i identyfikatora użytkownika do stron trzecich, co może umożliwić przejęcie sesji lub śledzenie użytkownika. Może to prowadzić do naruszenia prywatności i bezpieczeństwa konta.
Rekomendacja
Zaleca się, aby aplikacja nie przekazywała tokenów sesji w adresach URL ani w nagłówkach User-Agent. Należy również ograniczyć treści WebView do zaufanych domen i stosować bezpieczne mechanizmy uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
When the Mira Android app opens in-app WebView content (e.g., shop redirect flows), the user's live session token is appended to the URL as a query string parameter, and a persistent user identifier is included in the WebView's User-Agent header. Both are then transmitted to third-party web properties, referrer logs, and any JavaScript running in the WebView context.