Vulnerabilidad en Cordova Plugin InAppBrowser de Apache Software Foundation (CVE-2026-47430)

Gravedad CVSS v4.0:

CRÍTICA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

08/06/2026

Última modificación:

23/07/2026

Descripción

## Resumen La implementación para iOS de &#39;cordova-plugin-inappbrowser&#39; pasa el campo &#39;id&#39; de un cuerpo de &#39;WKScriptMessage&#39; a &#39;commandDelegate sendPluginResult:callbackId:&#39; sin validación de formato (&#39;CDVWKInAppBrowser.m:560-574&#39;). Cualquier contenido web cargado dentro del InAppBrowser puede activar cualquier callback de Cordova pendiente en la aplicación anfitriona publicando un mensaje cuyo campo &#39;id&#39; es un identificador de callback adivinable o enumerado. Un ataque que abuse de esta debilidad debe adaptarse a los &#39;plugins&#39; específicos y a los IDs de callback que utiliza la aplicación anfitriona. Aunque un atacante con conocimiento de configuraciones comunes de &#39;plugins&#39; de Cordova podría crear cargas útiles reutilizables dirigidas a &#39;plugins&#39; ampliamente adoptados. ## Impacto Un atacante remoto no autenticado que controla el contenido mostrado en el InAppBrowser - a través de una URL que la aplicación abre (redirección OAuth, enlace de marketing, objetivo de enlace profundo) o una intercepción de red - puede llamar a &#39;window.webkit.messageHandlers.cordova_iab.postMessage({id: victim-callback-id , d: ... })&#39; para activar callbacks pertenecientes a cualquier otro &#39;plugin&#39; de Cordova instalado (Cámara, Contactos, Archivo, Geolocalización). Los IDs de callback de Cordova siguen el formato predecible &#39; PluginName sequential-integer &#39;, lo que hace que la enumeración sea factible. La explotación exitosa permite al atacante suplantar resultados de &#39;plugins&#39; a través de límites de confianza - por ejemplo, inyectando una aprobación de cámara falsificada, una lista de contactos fabricada o una respuesta de lectura de archivo manipulada. Este problema afecta al &#39;plugin&#39; de Cordova InAppBrowser: desde la versión 3.1.0 hasta la 6.0.0. Se recomienda a los usuarios actualizar a la versión 6.0.1, que corrige el problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H CVSS v4.0 Severidad y Métricas:

Puntuación base: 9.50 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Alto
Integrity (SI): Alto
Availability (SA): Alto

Puntuación base 4.0

9.50

Gravedad 4.0

CRÍTICA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno