CVE-2026-47430

## Xülasə `cordova-plugin-inappbrowser`-in iOS tətbiqi, `WKScriptMessage` gövdəsindəki `id` sahəsini heç bir format yoxlaması olmadan `commandDelegate sendPluginResult:callbackId:` funksiyasına ötürür (`CDVWKInAppBrowser.m:560–574`). InAppBrowser daxilində yüklənən hər hansı veb məzmun, `id` sahəsi təxmin edilə bilən və ya sadalanan callback identifikatoru olan mesaj göndərməklə, ana tətbiqdə gözləyən istənilən Cordova callback-ni işə sala bilər. Bu zəiflikdən istifadə edən hücum, ana tətbiqin istifadə etdiyi konkret plaginlərə və callback ID-lərə uyğunlaşdırılmalıdır. Bununla belə, ümumi Cordova plagin konfiqurasiyaları haqqında biliyi olan hücumçu, geniş yayılmış plaginləri hədəf alan təkrar istifadə edilə bilən faydalı yüklər (payloads) hazırlaya bilər. ## Təsir Tətbiqin açdığı URL (OAuth yönləndirməsi, marketinq linki, deep-link hədəfi) və ya şəbəkənin tutulması vasitəsilə InAppBrowser-də göstərilən məzmunu idarə edən autentifikasiya olunmamış uzaqdan hücumçu, quraşdırılmış digər Cordova plaginlərinə (Kamera, Kontaktlar, Fayl, Geolokasiya) aid callback-ləri işə salmaq üçün `window.webkit.messageHandlers.cordova_iab.postMessage({id: '<victim-callback-id>', d: '...'})` funksiyasını çağıra bilər. Cordova callback ID-ləri proqnozlaşdırıla bilən `<PluginName><sequential-integer>` formatını izləyir ki, bu da onların sadalanmasını mümkün edir. Uğurlu istismar hücumçuya etibar sərhədləri boyunca plagin nəticələrini saxtalaşdırmağa imkan verir — məsələn, saxta kamera təsdiqinin, uydurulmuş kontaktlar siyahısının və ya hazırlanmış fayl oxuma cavabının yerləşdirilməsi. Bu problem Cordova Plugin InAppBrowser-in 3.1.0 versiyasından 6.0.0 versiyasına qədər olan hissəsinə təsir edir. İstifadəçilərə problemi aradan qaldıran 6.0.1 versiyasına yeniləmək tövsiyə olunur.