CVE-2014-0073

Apache Cordova In-App-Browser iOS: wykonanie arbitrary JavaScript w host page

CVSS 9.8v3.0pub. 2017-10-30upd. 2026-05-13

Podatność w klasie CDVInAppBrowser wtyczki Apache Cordova In-App-Browser dla iOS pozwala zdalnym atakującym na wykonanie dowolnego kodu JavaScript w kontekście strony hosta. Ze względu na brak uwierzytelnienia i sieciowy wektor ataku stanowi poważne zagrożenie dla aplikacji mobilnych opartych na Cordova.

▸ Pokaż oryginał (EN)

The CDVInAppBrowser class in the Apache Cordova In-App-Browser standalone plugin (org.apache.cordova.inappbrowser) before 0.3.2 for iOS and the In-App-Browser plugin for iOS from Cordova 2.6.0 through 2.9.0 does not properly validate callback identifiers, which allows remote attackers to execute arbitrary JavaScript in the host page and consequently gain privileges via a crafted gap-iab: URI.

🤖 Analiza AI

Jak działa

Klasa CDVInAppBrowser nie weryfikuje poprawnie identyfikatorów callback przekazywanych przez specjalnie spreparowany URI ze schematem gap-iab:. Atakujący może dostarczyć złośliwy URI, który zostanie przetworzony bez walidacji, co skutkuje wykonaniem dowolnego kodu JavaScript w kontekście głównej strony hosta (host page). W ten sposób możliwe jest obejście izolacji między komponentem In-App-Browser a właściwą aplikacją.

Skutki

Atakujący może wykonać dowolny kod JavaScript w kontekście strony hosta, co prowadzi do eskalacji uprawnień i potencjalnego przejęcia kontroli nad aplikacją, w tym dostępu do danych i funkcji zarezerwowanych dla zaufanego kontekstu.

Mitygacja

Należy zaktualizować wtyczkę standalone org.apache.cordova.inappbrowser do wersji 0.3.2 lub nowszej. W przypadku korzystania z Apache Cordova należy uaktualnić platformę do wersji wyższej niż 2.9.0. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Wtyczka standalone Apache Cordova In-App-Browser (org.apache.cordova.inappbrowser) w wersjach przed 0.3.2 dla iOS oraz wtyczka In-App-Browser wbudowana w Apache Cordova w wersjach od 2.6.0 do 2.9.0 dla iOS.

Uwagi

Podatność została opublikowana w marcu 2014 roku na liście Full Disclosure (seclists.org/fulldisclosure/2014/Mar/30), choć oficjalny rekord CVE pojawił się w 2017 roku. Szczegółowa analiza techniczna dostępna jest pod adresem d3adend.org/blog/?p=403.