p PatchFirst

CVE-2026-68922

CVE-2026-68922 · MobSF: Arbitrary File Read via Path Traversal in ZIP Uploads

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

MobSF is a mobile application security testing tool used. Prior to 4.5.1, find_icon_path_zip in mobsf/StaticAnalyzer/views/android/icon_analysis.py uses the Android manifest android:icon value to construct paths under the scan resource directory without rejecting traversal or verifying containment, allowing an authenticated user to upload a crafted ZIP or APK that reads a server file with an ALLOWED_EXTENSIONS suffix, copies it to DWD_DIR as the predictable name -icon., and retrieves it through the /download/ endpoint. The same behavior provides a file-existence oracle through the icon_path report field. This issue is fixed in version 4.5.1.

CVSS 5.5 · Moyenne · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • mobile-security-framework-mobsf

    Versions du logiciel
    • < 4.5.1: Concernée

    Aucun correctif publié

  • mobsf PyPI

    Versions du logiciel
    • 3.2.6
    • 3.2.7
    • 3.2.8
    • 3.2.9
    • 3.3.3
    • 3.3.5
    • 3.4.0
    • 3.4.3
    • 3.4.6
    • 3.5.0
    • 3.6.0
    • 3.6.9
    • 3.7.6
    • 3.9.7
    • 4.1.3
    • 4.3.0
    • 4.3.2
    • 4.4.0
    • 4.4.2
    • 4.4.5
    Plages de versions concernées
    • ECOSYSTEM: < 4.5.1

    Mettez à jour vers 4.5.1

Sources originales

Vérifiez votre serveur →