CVE-2026-54521

FairEmail, Android için tam özellikli, açık kaynaklı ve gizlilik dostu bir e-posta uygulamasıdır. 1.2319 sürümünden önce, app/src/main/java/eu/faircode/email/ActivityAMP.java dosyasındaki ActivityAMP AMP mesaj oluşturucusu, WebView bileşeninde JavaScript'e izin vermekte ancak güvenilmeyen mesaj HTML içeriğini eksik şekilde temizlemektedir. İzin verilenler listesinde olmayan ana bilgisayarlar için script.removeAttr("src") işlemi, belge içinde satır içi betik öğelerini bırakmakta ve diğer öğelerdeki olay işleyici özniteliklerini veya javascript: URL'lerini reddetmemektedir. Özel olarak hazırlanmış bir AMP e-postası, alıcı mesajı açtığında ve AMP seçeneğini etkinleştirdiğinde rastgele JavaScript çalıştırabilir. Betik; mesaj DOM'unu okuyabilir, mesaj verilerini sızdırabilir ve mesaj gövdesi alanında kimlik avı katmanları görüntüleyebilir. İstismar edilmesi için alıcının AMP seçeneğini etkinleştirmesi gerekir ve AMP e-postalarının yaygın olmaması nedeniyle pratik risk azalmaktadır. Bu sorun 1.2319 sürümünde düzeltilmiştir.