یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-63278 شناسایی شده است که به مهاجمان اجازه می‌دهد از طریق ساخت URLهای خاص، اطلاعات حساس سیستم را استخراج کنند. این نقص امنیتی در نحوه پردازش و گسترش (Expansion) متغیرهای محیطی (Environment Variables) یا مقادیر فایل‌های INI در هنگام باز کردن اسناد حاوی لینک‌های مخرب رخ می‌دهد.
جزئیات فنی و مکانیسم حمله
در این سناریو، مهاجم می‌تواند لینک‌هایی را طراحی کند که هنگام کلیک توسط کاربر، باعث فعال شدن Package Content Provider شود. این فرآیند منجر به جایگزینی متغیرهای محیطی با مقادیر واقعی آن‌ها در سیستم قربانی شده و در نهایت، این اطلاعات حساس به یک سرور از راه دور (Remote Server) ارسال می‌گردد.
شکست در مکانیزم‌های دفاعی قبلی
لازم به ذکر است که پیش از این برای رفع مشکل مشابهی در CVE-2024-12426، بررسی‌هایی (Checks) اضافه شده بود؛ اما این مکانیزم نتوانست تمامی روش‌های نام‌گذاری Package Content Provider را شناسایی کند. در نتیجه، مهاجمان با تغییر در نحوه نام‌گذاری URL، توانستند محدودیت‌های امنیتی را دور زده و به مرحله گسترش متغیرها دست یابند.
راهکار اصلاحی
در نسخه‌های به‌روزرسانی شده، منطق بررسی URLها تغییر یافته است تا هرگونه ارجاع به Package Content Provider، فارغ از نحوه نام‌گذاری، شناسایی و کنترل شود تا از نشت داده‌ها (Data Exfiltration) جلوگیری گردد.
