Capacitor: Umgehung der Navigationsprüfung ermöglicht Inhaltseinschleusung im App-Ursprung

Zusammenfassung

Capacitor, eine Laufzeitumgebung zum Verpacken von Web-Apps als native Android- und iOS-Apps, prüft in der Navigationsprüfung der WebView den Pfad einer URL nicht. Ein Opfer, das einen nicht vertrauenswürdigen Link anklickt, kann zum internen HTTP-Proxy-Pfad der App geleitet werden, der vom Angreifer gewählte Inhalte unter dem eigenen Ursprung der App ausliefert. Skripte in diesem Inhalt können dann auf den Speicher, die Cookies und die registrierten Capacitor-Plugin-Funktionen der App zugreifen. Das Deaktivieren von CapacitorHttp verhindert das Problem nicht.

Betroffen

• 6.0.0 bis vor 6.2.2
• 7.0.0 bis vor 7.6.9
• 8.0.0 bis vor 8.3.5
• 8.3.5 bis vor 8.4.3
• 8.5.0 bis vor 8.5.1

Betroffene Pakete: @capacitor/android, @capacitor/ios, @capacitor/core (com.capacitorjs core), capacitor-swift-pm

Behoben in

• 6.2.2
• 7.6.9
• 8.3.5 (für 8.0.x bis 8.3.4)
• 8.4.3 (für 8.3.5 bis 8.4.2)
• 8.5.1 (für 8.5.0)

Umgehung

Unbekannt. Der Hersteller hat keine Workaround veröffentlicht. Drittanbieter-Notlösungen (vom Hersteller nicht bestätigt):

• Navigation zum Pfad /_capacitor_http_interceptor_ in einem eigenen Plugin ablehnen, bevor die Navigationsprüfung greift.
• Frame-Navigationen zu diesem Pfad blockieren und vom Benutzer kontrollierte Linkziele bereinigen, bevor sie dargestellt werden.

Dies sind nur temporäre Massnahmen; das Update ist einzuspielen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• Eine Interaktion des Opfers (Anklicken eines Links in der App) ist erforderlich.

Unsere Empfehlung

• Alle Capacitor-Apps und deren Versionen inventarisieren, einschliesslich Lockfiles und nativer Builds.
• Auf die korrigierte Version des eigenen Release-Zweigs aktualisieren, danach die Android- und iOS-Apps neu bauen und veröffentlichen; reine Web-Updates beheben die nativen Builds nicht.
• Bis zur Aktualisierung Apps prüfen, die nicht vertrauenswürdige Links öffnen (Chat, E-Mail, Benutzerinhalte, In-App-Browser), und die oben genannten temporären Massnahmen anwenden.
• Nach dem Update prüfen, welche Plugins und gespeicherten Daten den Inhalten der WebView zugänglich sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  techupdate24/capacitor-flaw-cve-2026-103922

Quellen der Recherche

• GitHub Security Advisory GHSA-rvm3-566m-v7fv github.com
• Capacitor release 8.5.1 github.com
• Fix commit 430356a: block navigation to the internal HTTP proxy path github.com
• Fix commit 80b6c5e: block the HTTP proxy path in subframes github.com
• OSV entry CVE-2026-103922 osv.dev
• CVE record (CVE Program JSON) raw.githubusercontent.com
• GitLab advisory for @capacitor/ios advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:38.