Tinybeans Private Family Album App 任意文件覆盖漏洞 #17 漏洞概述 漏洞原理 该漏洞源于文件导入过程中的安全验证不足。恶意应用可控制文件名和内容，利用路径遍历覆盖应用内部存储中的敏感文件。当关键配置文件或可执行文件被篡改时，可能导致： 应用功能异常或无法启动 任意代码执行 敏感信息泄露 拒绝服务 攻击条件：无需复杂用户交互，受害者打开恶意应用后即可自动触发。 影响范围 应用: Tinybeans Private Family Album App 平台: Android (Google Play) 版本: 1.5.9.5-prod 漏洞利用演示 覆盖前配置 ( ) 覆盖后配置（敏感信息发送至篡改域名 ） 关键篡改点： : → : → 修复方案 页面未提供具体修复方案。建议： 1. 对导入文件的文件名进行严格校验，过滤路径遍历字符（如 ） 2. 限制文件写入目录，禁止写入应用内部存储的关键配置路径 3. 对配置文件进行完整性校验（如签名验证） 4. 及时更新至厂商修复版本