Heimdall Security Logo

CVE-2026-103922

Vulnérabilité critique dans capacitor (ionic-team)

CVSS 9.3 · Critique
EPSS 0.2%
ionic-team•capacitor•Versions : >= 8.0.0, < 8.3.5, >= 6.0.0, < 6.2.2, >= 8.5.0, < 8.5.1, >= 7.0.0, < 7.6.9, >= 8.3.5, < 8.4.3

Description

Capacitor is a cross-platform native runtime for web applications. From 6.0.0 until 6.2.2, 7.6.9, 8.3.5, 8.4.3, and 8.5.1, the Android and iOS WebView navigation guard validates a target URL's host and scheme but not its path, allowing a victim who activates an untrusted link to navigate a frame to /_capacitor_http_interceptor_. The native proxy can fetch an attacker-selected URL and return the response as a document at the application's own origin, allowing script in that response to access same-origin storage, cookies, and registered Capacitor plugin capabilities. Applications remain affected when CapacitorHttp is disabled because affected releases serve the proxy path regardless of that setting. This issue is fixed in versions 6.2.2, 7.6.9, 8.3.5, 8.4.3, and 8.5.1.

Gravité et risque d'exploitation

CVE-2026-103922 obtient un score CVSS de 9.3/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.21 %, ce qui la place devant 10.9 % des CVE référencées.

Que faire ?

  • Vérifiez si capacitor (versions >= 8.0.0, < 8.3.5, >= 6.0.0, < 6.2.2, >= 8.5.0, < 8.5.1, >= 7.0.0, < 7.6.9, >= 8.3.5, < 8.4.3) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE