CVE-2026-103922 — Capacitor — Corretto in 6.2.2 / 7.6.9 / 8.3.5 / 8.4.3 / 8.5.1

Capacitor è un runtime nativo multipiattaforma per applicazioni web. Dalla versione 6.0.0 fino alle versioni 6.2.2, 7.6.9, 8.3.5, 8.4.3 e 8.5.1, la protezione della navigazione della WebView su Android e iOS convalida l'host e lo schema di un URL di destinazione, ma non il percorso, consentendo a una vittima che attiva un link non attendibile di navigare un frame verso /_capacitor_http_interceptor_. Il proxy nativo può recuperare un URL scelto dall'autore dell'attacco e restituire la risposta come documento all'origine dell'applicazione stessa, consentendo agli script presenti in tale risposta di accedere allo storage same-origin, ai cookie e alle funzionalità dei plugin Capacitor registrati. Le applicazioni restano interessate anche quando CapacitorHttp è disabilitato, perché le versioni interessate espongono il percorso del proxy indipendentemente da tale impostazione. Il problema è stato risolto nelle versioni 6.2.2, 7.6.9, 8.3.5, 8.4.3 e 8.5.1.