漏洞关键信息 漏洞概述 类型: Stored Cross-Site Scripting (XSS) 受影响的包: mobsf (pip) 受影响版本: 4.4.4 修复版本: 4.4.5 CVE ID: CVE-2026-24490 严重性: High (8.1/10) 漏洞细节 数据提取: 在 (line 776) 中提取了 属性。 模板字符串格式化: 在 (line 806) 中将XSS payload插入模板中，未进行转义。 模板定义: 在 (line 200) 中定义了包含 的模板。 不安全渲染: Django模板过滤器绕过了自动转义，允许 值作为原始HTML呈现。 证明概念 (PoC) 1. 创建恶意APK: 创建一个包含特定 的APK。 2. 构建APK: 使用aptool或Android构建工具创建有效的APK。 3. 上传到MobSF: 上传恶意APK进行静态分析。 4. 触发XSS: 在浏览器中查看静态分析报告，自动执行JavaScript payload。 确认的HTML输出 影响 攻击场景: 1. 攻击者制作包含XSS payload的恶意APK。 2. 将APK提交给共享或私有的MobSF实例。 3. 用户查看分析报告时，XSS payload在浏览器中执行。 其他信息 弱项: CWE-79 CVSS v3 基础指标: - 攻击向量: Network - 攻击复杂度: Low - 所需权限: High - 用户交互: Required - 范围: Changed - 机密性影响: High - 完整性影响: High - 可用性影响: None