CVE-2026-54521
Təsvir
FairEmail Android üçün tam funksionallı, açıq mənbəli və məxfiliyə önəm verən e-poçt tətbiqidir. Versiya 1.2319-dan əvvəl, app/src/main/java/eu/faircode/email/ActivityAMP.java faylındakı ActivityAMP AMP mesaj rendereri öz WebView-da JavaScript-i aktivləşdirir, lakin etibarsız mesaj HTML-ni tam şəkildə təmizləmir. Ağ siyahıya daxil edilməmiş hostlar üçün script.removeAttr("src") sənəddə sətirdaxili (inline) skript elementlərini saxlayır və digər elementlərdəki hadisə-idarəedici (event-handler) atributlarını və ya javascript: URL-lərini rədd etmir. Xüsusi hazırlanmış AMP e-poçtu, alıcı mesajı açdıqda və AMP keçidini aktivləşdirdikdə ixtiyari JavaScript kodunu icra edə bilər. Skript mesajın DOM strukturunu oxuya, mesaj məlumatlarını kənara sızdıra və mesaj gövdəsi sahəsində fişinq örtükləri göstərə bilər. İstismar üçün alıcının AMP keçidini aktivləşdirməsi tələb olunur və AMP e-poçtlarının nadir olması praktiki riskləri azaldır. Bu problem 1.2319 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| M66B FairEmail | < 1.2319 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.