CVE-2026-68927
NiskieCVSS 3.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w MobSF przed wersją 4.5.1. Funkcja get_browsable_activities w pliku manifest_analysis.py waliduje tylko wartość android:host, a nie android:port, co pozwala uwierzytelnionemu użytkownikowi przesłać spreparowany APK, który wykonuje żądania do wybranego przez atakującego niestandardowego portu w ścieżce /.well-known/assetlinks.json. Z użyciem kontrolowanej nazwy hosta i DNS rebinding, żądanie może dotrzeć do wewnętrznego serwisu. Problem naprawiono w wersji 4.5.1.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do wewnętrznych usług. Atakujący może wykorzystać podatność do sondowania wewnętrznej infrastruktury.
Rekomendacja
Zaktualizuj MobSF do wersji 4.5.1 lub nowszej. Ogranicz dostęp do narzędzia i monitoruj przesyłane pliki APK.
Inne podatności w MobSF
Zobacz wszystkie- CVE-2026-68924Średnie
MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność w funkcji unzip w mobsf/StaticAnalyzer/views/common/shared_func.py, która loguje pominięcie elementu archiwum przekraczającego ZIP_MAX_UNCOMPRESSED_FILE_SIZE, ale nie przechodzi do następnego elementu. Uwierzytelniony użytkownik może przesłać spreparowany plik ZIP lub APK, którego zbyt duży element zostanie rozpakowany na dysk, gdy łączny limit ZIP_MAX_UNCOMPRESSED_TOTAL_SIZE nie został jeszcze osiągnięty, potencjalnie wyczerpując miejsce na dysku i uniemożliwiając dalsze skanowanie. Problem naprawiono w wersji 4.5.1.
- CVE-2026-68923Średnie
MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność polegającą na umieszczeniu django.middleware.csrf.CsrfViewMiddleware tylko w przestarzałym ustawieniu MIDDLEWARE_CLASSES i pominięciu go w aktywnej krotce MIDDLEWARE. Pozwala to zdalnemu atakującemu nakłonić zalogowaną ofiarę do wysłania żądań POST do uwierzytelnionych punktów końcowych, takich jak /delete_scan/, /upload/, /download_scan/, /change_password/, /create_user/ i /delete_user/. Może to usuwać skany, przesyłać lub pobierać aplikacje, zmieniać hasła lub zarządzać użytkownikami z uprawnieniami ofiary. Problem naprawiono w wersji 4.5.1.
- CVE-2026-68922Średnie
MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność w funkcji find_icon_path_zip w mobsf/StaticAnalyzer/views/android/icon_analysis.py, która używa wartości android:icon z manifestu Androida do konstruowania ścieżek w katalogu zasobów skanu bez odrzucania przechodzenia po ścieżkach lub weryfikacji zawartości. Uwierzytelniony użytkownik może przesłać spreparowany plik ZIP lub APK, który odczytuje plik serwera z sufiksem ALLOWED_EXTENSIONS, kopiuje go do DWD_DIR jako przewidywalną nazwę -icon. i pobiera go przez punkt końcowy /download/. To samo zachowanie zapewnia wyrocznię istnienia plików przez pole raportu icon_path. Problem naprawiono w wersji 4.5.1.
Oryginalny opis (angielski, źródło NVD)
MobSF is a mobile application security testing tool used. Prior to 4.5.1, get_browsable_activities in mobsf/StaticAnalyzer/views/android/manifest_analysis.py validates only an Android manifest android:host value with valid_host before appending a separately supplied android:port to the URL fetched by _check_url, allowing an authenticated user to upload a crafted APK that makes requests to an attacker-selected nonstandard port at /.well-known/assetlinks.json. With an attacker-controlled hostname and DNS rebinding between validation and the requests.get connection, the request can reach an internal service, although redirects remain disabled and the path is fixed. This issue is fixed in version 4.5.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS