EcoOnline EHS Android CVE-2026-26897 WebView开放重定向/深链绕过

漏洞关键信息总结 漏洞概述 CVE 编号：CVE-2026-26897 漏洞类型：WebView 开放重定向 / 深度链接验证绕过（Deep Link Validation Bypass） 影响应用：EcoOnline EHS (Android) 状态：已修复（FIXED） CVSS v3.1 评分：6.3（Medium） 攻击方式：远程攻击（需用户交互——打开一个精心构造的链接） 影响：钓鱼/社会工程攻击；攻击者可控的网页内容在受信任的应用内渲染（如伪造登录页），绕过应用的域名白名单。 影响范围 受影响版本：com.airweb.v10 版本 0.2.499（versionCode 44631） 修复版本：0.2.500（已上架 Google Play） 受影响组件：导出的 （深度链接处理器）及 中的深度链接分支 根本原因：深度链接分支未调用 检查，导致 协议被重写为 后直接加载，未做域名白名单校验。 修复方案 1. 升级到 com.airweb.v10 0.2.500 或更高版本。 2. 在 之前应用 （或等效的白名单校验）。 3. 不要通过盲目重写协议来验证加载的 URL；应同时校验 scheme 和 host。 4. 在深度链接的 中，使用显式的 约束路径。 5. 强化 正则（锚定 host，避免子串匹配）。 POC / 利用代码 PoC 复现步骤（2026-01-13 录制，针对 0.2.499）： 1. 在 Android 设备上安装受影响版本（0.2.499）。 2. 向受害者投递一个精心构造的深度链接（通过邮件、短信、QR 码或网页）： 3. 受害者打开后， 重写协议，WebView 加载： 4. 攻击者页面以与合法应用相同的样式渲染，可展示伪造的 EHS 登录页以收割凭据。 关键代码（反编译自 v0.2.499）： 深度链接分支（ ）： 白名单检查（同文件中，但深度链接分支未调用）： AndroidManifest.xml（v0.2.499）导出的 scheme-only 深度链接： 用户行动建议：将 EcoOnline EHS 应用更新到最新版本。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

EcoOnline EHS Android CVE-2026-26897 WebView开放重定向/深链绕过

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

EcoOnline EHS Android CVE-2026-26897 WebView开放重定向/深链绕过

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！