Приложение wallabag (также известное как fr.gaulupeau.apps.InThePoche) до версии 2.6.0 для Android допускает XSS, поскольку данные /api/entries загружаются в WebView.
Показать оригинальное описание (EN)
The wallabag (aka fr.gaulupeau.apps.InThePoche) application through 2.6.0 for Android allows XSS because /api/entries data is loaded into a WebView.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
wallabag:android-app
Ссылки 6
https://github.com/wallabag/android-app/blob/master/app/src/main/java/fr/gaulup…
cve@mitre.org
https://github.com/wallabag/android-app/blob/master/app/src/main/java/fr/gaulup…
cve@mitre.org
https://github.com/wallabag/android-app/blob/master/app/src/main/java/fr/gaulup…
cve@mitre.org
https://github.com/wallabag/android-app/blob/master/app/src/main/java/fr/gaulup…
cve@mitre.org
https://github.com/wallabag/android-app/blob/master/app/src/main/java/fr/gaulup…
cve@mitre.org
https://github.com/wallabag/wallabag/security/advisories/GHSA-q2g2-www6-wf5h
cve@mitre.org