CVE-2026-68927
Açıklama
MobSF, kullanılan bir mobil uygulama güvenlik testi aracıdır. 4.5.1 sürümünden önce, mobsf/StaticAnalyzer/views/android/manifest_analysis.py içindeki get_browsable_activities, yalnızca bir Android manifest android:host değerini valid_host ile doğrular ve ardından ayrı olarak sağlanan android:port değerini _check_url tarafından getirilen URL'ye ekler; bu da kimliği doğrulanmış bir kullanıcının, /.well-known/assetlinks.json adresinde saldırgan tarafından seçilen standart dışı bir porta isteklerde bulunan hazırlanmış bir APK yüklemesine olanak tanır. Saldırgan tarafından kontrol edilen bir ana bilgisayar adı ve doğrulama ile requests.get bağlantısı arasında DNS yeniden bağlama ile istek, yönlendirmeler devre dışı kalmasına ve yol sabit olmasına rağmen dahili bir hizmete ulaşabilir. Bu sorun 4.5.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- mobsf4.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mobsfPyPI | v < 4.5.1 | 4.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.