不正确的输入验证可能允许本地攻击者通过启动网页来执行JavaScript（CVE-2023-21434）
CVE编号
CVE-2023-21434利用情况
暂无补丁情况
N/A披露时间
2023-01-20漏洞描述
Galaxy应用商店是预装在三星Android设备上的另一个应用商店。Galaxy应用商店和谷歌应用商店都提供了几个Android应用程序，用户可以选择使用其中一个商店来安装特定的应用程序。 发现Galaxy App Store中的Web视图包含一个筛选器，该筛选器限制了Web视图可以浏览的域。但是，该筛选器未正确配置，这将允许Web视图浏览到攻击者控制的域。解决建议
对于运行Android 12或更低版本的三星设备，三星发布了Galaxy App Store的更新版本（版本4.5.49.8）。用户应在手机上打开Galaxy App Store，如果出现提示，请下载并安装最新版本。此问题不会影响运行Android 13的设备。用户仍应将Galaxy应用商店更新至最新版本，以解决潜在的其他问题。
参考链接 |
|
|---|---|
| https://research.nccgroup.com/2023/01/20/technical-advisory-multiple-vulnerab... | |
| https://security.samsungmobile.com/serviceWeb.smsb?year=2023&month=01 |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | samsung | galaxy_store | * | Up to (excluding) 4.5.49.8 | |||||
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 已更改
- 用户交互 需要
- 可用性 无
- 保密性 低
- 完整性 低
| CWE-ID | 漏洞类型 |
| CWE-79 | 在Web页面生成时对输入的转义处理不恰当（跨站脚本） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论