Dans Chewy pour Android 26.23.0, un lien profond vers une page dont l’hôte n’est pas correctement vérifié peut charger un site contrôlé par un attaquant dans une WebView disposant d’une interface JavaScript privilégiée. Si l’utilisateur ouvre le lien piégé alors qu’il est connecté, des informations de profil de ses animaux peuvent être divulguées; aucune version corrigée n’est précisée dans les données fournies.
Source : NVD — CVE-2026-106714
Analyse technique
Le lien profond vers une page de détails produit ne valide pas suffisamment l’hôte avant son chargement dans une WebView hybride, permettant l’accès à l’interface JavaScript nma_petmd_bridge et à la fonction getPetProfiles.
Impact, versions et correctif
Action recommandée
Éviter d’ouvrir les liens profonds non fiables et installer une version corrigée dès qu’elle sera disponible.
Sources
Priorisation DFS : P4 · 1 source(s).