PT-2026-47194 · Cordova · Inappbrowser

Niklas Merz · Publicado 2026-06-07 · Atualizado 2026-06-08 · CVE-2026-47430

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.5

Crítica

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Cordova Plugin InAppBrowser versões 3.1.0 a 6.0.0

Descrição A implementação para iOS do plugin InAppBrowser não valida o campo id de um corpo WKScriptMessage antes de passá-lo para a função commandDelegate sendPluginResult:callbackId:. Isso permite que o conteúdo web carregado no InAppBrowser acione qualquer callback do Cordova pendente no aplicativo host, enviando uma mensagem com um identificador de callback adivinhado ou enumerado. Um invasor pode usar o endpoint window.webkit.messageHandlers.cordova iab.postMessage() com o parâmetro id para falsificar resultados de outros plugins instalados, como Câmera, Contatos, Arquivos ou Geolocalização, pois os IDs de callback seguem o formato previsível <PluginName><sequential-integer>.

Recomendações Atualizar para a versão 6.0.1.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2026-47430

GHSA-Q42J-X8RQ-PJG6

Produtos afetados

Inappbrowser

Referências · 7

• https://github.com/apache/cordova-plugin-inappbrowser · Nota
• https://lists.apache.org/thread/sb539nss3b0545wnyt1pbh7zgwjvz2qq · Aviso do Fabricante
• https://twitter.com/oss_security/status/2063631569206517924 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2026/06/07/1 · Nota
• https://osv.dev/vulnerability/GHSA-q42j-x8rq-pjg6 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-47430 · Nota de Segurança
• https://twitter.com/CVEnew/status/2063958165306130562 · Publicação no Twitter