CVE-2026-103922 — Capacitor — Behoben in 6.2.2 / 7.6.9 / 8.3.5 / 8.4.3 / 8.5.1

Capacitor ist eine plattformübergreifende native Laufzeitumgebung für Webanwendungen. Von 6.0.0 bis 6.2.2, 7.6.9, 8.3.5, 8.4.3 und 8.5.1 validiert der Android- und iOS-WebView-Navigationsschutz den Host und das Schema einer Ziel-URL, nicht jedoch ihren Pfad. Dadurch kann ein Opfer, das einen nicht vertrauenswürdigen Link aktiviert, einen Frame zu /_capacitor_http_interceptor_ navigieren. Der native Proxy kann eine vom Angreifer ausgewählte URL abrufen und die Antwort als Dokument unter dem eigenen Origin der Anwendung zurückgeben, sodass Skripte in dieser Antwort auf Same-Origin-Speicher, Cookies und registrierte Capacitor-Plugin-Funktionen zugreifen können. Anwendungen sind auch dann weiterhin betroffen, wenn CapacitorHttp deaktiviert ist, da betroffene Releases den Proxy-Pfad unabhängig von dieser Einstellung bereitstellen. Dieses Problem wurde in den Versionen 6.2.2, 7.6.9, 8.3.5, 8.4.3 und 8.5.1 behoben.