CVE-2026-68923
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność polegającą na umieszczeniu django.middleware.csrf.CsrfViewMiddleware tylko w przestarzałym ustawieniu MIDDLEWARE_CLASSES i pominięciu go w aktywnej krotce MIDDLEWARE. Pozwala to zdalnemu atakującemu nakłonić zalogowaną ofiarę do wysłania żądań POST do uwierzytelnionych punktów końcowych, takich jak /delete_scan/, /upload/, /download_scan/, /change_password/, /create_user/ i /delete_user/. Może to usuwać skany, przesyłać lub pobierać aplikacje, zmieniać hasła lub zarządzać użytkownikami z uprawnieniami ofiary. Problem naprawiono w wersji 4.5.1.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane działania na koncie ofiary, takie jak usuwanie danych, zmiana haseł lub zarządzanie użytkownikami, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację MobSF do wersji 4.5.1 lub nowszej oraz upewnienie się, że ochrona CSRF jest aktywna we wszystkich środowiskach.
Inne podatności w MobSF
Zobacz wszystkie- CVE-2026-68927Niskie
Podatność w MobSF przed wersją 4.5.1. Funkcja get_browsable_activities w pliku manifest_analysis.py waliduje tylko wartość android:host, a nie android:port, co pozwala uwierzytelnionemu użytkownikowi przesłać spreparowany APK, który wykonuje żądania do wybranego przez atakującego niestandardowego portu w ścieżce /.well-known/assetlinks.json. Z użyciem kontrolowanej nazwy hosta i DNS rebinding, żądanie może dotrzeć do wewnętrznego serwisu. Problem naprawiono w wersji 4.5.1.
- CVE-2026-68924Średnie
MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność w funkcji unzip w mobsf/StaticAnalyzer/views/common/shared_func.py, która loguje pominięcie elementu archiwum przekraczającego ZIP_MAX_UNCOMPRESSED_FILE_SIZE, ale nie przechodzi do następnego elementu. Uwierzytelniony użytkownik może przesłać spreparowany plik ZIP lub APK, którego zbyt duży element zostanie rozpakowany na dysk, gdy łączny limit ZIP_MAX_UNCOMPRESSED_TOTAL_SIZE nie został jeszcze osiągnięty, potencjalnie wyczerpując miejsce na dysku i uniemożliwiając dalsze skanowanie. Problem naprawiono w wersji 4.5.1.
- CVE-2026-68922Średnie
MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność w funkcji find_icon_path_zip w mobsf/StaticAnalyzer/views/android/icon_analysis.py, która używa wartości android:icon z manifestu Androida do konstruowania ścieżek w katalogu zasobów skanu bez odrzucania przechodzenia po ścieżkach lub weryfikacji zawartości. Uwierzytelniony użytkownik może przesłać spreparowany plik ZIP lub APK, który odczytuje plik serwera z sufiksem ALLOWED_EXTENSIONS, kopiuje go do DWD_DIR jako przewidywalną nazwę -icon. i pobiera go przez punkt końcowy /download/. To samo zachowanie zapewnia wyrocznię istnienia plików przez pole raportu icon_path. Problem naprawiono w wersji 4.5.1.
Oryginalny opis (angielski, źródło NVD)
MobSF is a mobile application security testing tool used. Prior to 4.5.1, mobsf/MobSF/settings.py places django.middleware.csrf.CsrfViewMiddleware only in the deprecated MIDDLEWARE_CLASSES setting and omits it from the active MIDDLEWARE tuple, allowing a remote attacker to make a logged-in victim submit cross-site POST requests to authenticated web endpoints including /delete_scan/, /upload/, /download_scan/, /change_password/, /create_user/, and /delete_user/. This can delete scans, upload or download applications, change passwords, or manage users with the victim account permissions. This issue is fixed in version 4.5.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS