CVE-2026-78997 — ثغرة XSS الشاملة (UXSS) في متصفح UC لأندرويد

مواد إثبات المفهوم (PoC) الخاصة بـ CVE-2026-78997 — ثغرة البرمجة النصية عبر المواقع الشاملة (Universal Cross-Site Scripting) في متصفح UC لأندرويد (com.UCMobile.intl، الإصدار 13.7.8.1314)، والتي أُفصح عنها بواسطة Omri Inbar (Novee).

تتيح ثغرة XSS المنعكسة على النطاق المُدرج في القائمة البيضاء للجسر mtmsg.uc.cn الوصول إلى جسر JavaScript المميّز ucapi. تقوم واجهة الجسر account.openLoginWindow بتخزين سلاسل JavaScript التي يتحكم بها المهاجم كدوال استدعاء (callbacks) لتسجيل الدخول/الإغلاق في الذاكرة الأصلية (native memory)، حيث تبقى حيّة بعد التنقل بين الصفحات. وعندما يُغلق المستخدم نافذة تسجيل الدخول الأصلية فوق الموقع الهدف، يتم إرسال دالة الاستدعاء مع حارس URL فارغ، وينفّذها المتصفح باستخدام WebView.evaluateJavascript() في أصل (origin) أي صفحة محمّلة — مما يتجاوز سياسة الأصل نفسه (Same-Origin Policy).

التحليل الكامل: https://www.hunt-benito.com/blog/the-callback-that-outlived-the-page-cve-2026-78997-uc-browser-android-universal-xss/

الملفات

الاستخدام

# 1. Build the crafted URL (string assembly only)
$ python3 poc_url_builder.py alert --victim https://www.google.com

# 2. Watch the mechanism (vulnerable vs. fixed dispatch)
$ python3 callback_oracle.py
$ python3 callback_oracle.py --fixed

# 3. Observe in the real app (device/emulator you own, vulnerable build)
$ frida -U -f com.UCMobile.intl -l frida_hooks.js --no-pause

على إصدار مصاب: افتح الرابط المُصمَّم، واتركه يتنقل إلى الموقع الهدف، ثم أغلق نافذة تسجيل الدخول الأصلية (اضغط على خيار تسجيل الدخول ثم اضغط X، أو أغلقه بأي طريقة أخرى). ستُنفَّذ دالة الاستدعاء المخزّنة في أصل الموقع الهدف.

القانون / الأخلاقيات

لا يقوم مُنشئ الرابط بأي إدخال/إخراج عبر الشبكة. إن انعكاس mtmsg.uc.cn وسلوك الجسر موثّقان في الإفصاح العام للباحث (المُشار إليه أدناه). اختبر فقط ضد الأجهزة ومواقع الشبكة التي تملكها أو المصرّح لك صراحةً باختبارها. الوصول غير المصرّح به إلى أنظمة الحاسوب غير قانوني في معظم الولايات القضائية.

المراجع

• Researcher write-up: https://gist.github.com/OmriInbar-Novee/9fd65fe08c1b1cff6a19350e44425de2
• CVE text: https://gist.github.com/OmriInbar-Novee/ef7a92db148b2eb1ab0aa7b99a565c4c
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-78997
• CVE record: https://www.cve.org/CVERecord?id=CVE-2026-78997