mobsfscan

mobsfscan mobsfscan は、Android および iOS のソースコードに含まれる安全でないコードパターンを検出できる静的解析ツールです。Java、Kotlin、Android XML、iOS Info.plist、Swift、Objective C コードをサポートしています。mobsfscan は MobSF の静的解析ルールを使用し、semgrep と libsast のパターンマッチャーによって動作します。 インドで を込めて作成 mobsfscan を支援する mobsfscan を気に入って役に立ったと感じていただけたら、ぜひ寄付をご検討ください。...

Mobile-Security-Framework-MobSF

モバイルセキュリティフレームワーク MobSF Mobile Security Framework MobSF は、Android、iOS、Windows Mobile 向けモバイルアプリケーションのセキュリティ研究プラットフォームです。MobSF は、モバイルアプリケーションセキュリティ、ペネトレーションテスト、マルウェア分析、プライバシー分析など、さまざまなユースケースに利用できます。静的解析 Static Analyzer は、APK、IPA、APPX などの一般的なモバイルアプリバイナリやソースコードをサポートしています。一方、動的解析 Dynamic Analyzer は...

android_application_analyzer

Android应用分析器 该工具用于分析本地存储中Android应用的内容。 使用以下命令安装依赖项： chmod +x setup.sh ./setup.sh 使用以下命令通过python3运行该工具： python -m venv androidapplicationanalyzer androidapplicationanalyzer\Scripts\activate pip install -r requirements.txt python main.py 注意 为了运行"Fridump"和"Frida universal ssl...

Open Redirect in Login Redirect - MobSF

Mobile Security Framework MobSF is a security research platform for mobile applications in Android, iOS and Windows Mobile. An open redirect vulnerability exist in MobSF authentication view. id: CVE-2024-41955 info: name: Open Redirect in Login Redirect - MobSF author: Farish severity: medium...

MobSF - Path Traversal

MobSF is vulnerable to an issue with apktool CVE-2024-21633 that allows for RCE or arbitrary file writing. It does this through a path traversal vulnerability. This template tests for it by writing to a local file and reading that file. RCE can be achieved by overwriting jadx, as shown in the two...

MobSF_AI

MobSF AI Sidecar このプロジェクトは、Mobile Security Framework MobSF にAI搭載のチャットアシスタントを追加します。セキュリティアナリストは、MobSFが生成した分析レポートについて、インターフェース内で直接質問でき、OpenAIのモデルを活用します。 特徴 シームレスな統合 : Nginxリバースプロキシを使用して、特化したチャットインターフェースをMobSFレポートに直接注入します。 コンテキスト認識 : AIアシスタントは現在の分析レポート（静的解析）を自動的に取得し、それをコンテキストとして質問に回答します。 インタラクティブQ &...

CVE-2024-21633

MobSF リモートコード実行 CVE-2024-21633 経由 apktool における任意ファイル書き込みを発見し、GitHub セキュリティアドバイザリ 経由で報告しました。多くのプロジェクトが apktool に依存していることは認識していましたが、アドバイザリの公開 と 修正 後も、多くの人が気づいたり気にしたりしていないようでした。そこで、主要な依存プロジェクトのいくつかでその影響と悪用可能性を調査することにし、最初に MobSF から始めました。 この脆弱性により、"$decode target path/res/"...

Mobile-Security-Framework-MobSF v4.5.3

Mobile Security Framework MobSF Mobile Security Framework MobSF is a security research platform for mobile applications in Android, iOS and Windows Mobile. MobSF can be used for a variety of use cases such as mobile application security, penetration testing, malware analysis, and privacy analysis...

MobSF Vulnerable to Arbitrary File Read via Path Traversal in ZIP Uploads

SummaryThe findiconpathzip function in MobSF does not properly sanitize the android:icon attribute extracted from an Android manifest before resolving it as a filesystem path.An attacker can supply a malicious android:icon value containing path traversal sequences, causing MobSF to read arbitrary...

MobSF Vulnerable to Zip Bomb Denial of Service via Per-File Size Limit Bypass in ZIP/APK Extraction

SummaryWhen extracting uploaded ZIP/APK files, MobSF checks if individual files exceed ZIPMAXUNCOMPRESSEDFILESIZE 400 MB and logs "Skipping" — but the code lacks a continue statement, so extraction proceeds anyway. The log message is misleading; the file is still written to disk. Verified Impact...

MobSF's CSRF checks not enforced after Django migration

SummaryDjango's CsrfViewMiddleware exists only in the deprecated MIDDLEWARECLASSES ignored since Django 2.0. The active MIDDLEWARE tuple does not include it. All authenticated web POST endpoints delete scan, upload, download APK, change password, manage users accept requests without CSRF tokens...

PYSEC-2026-3691 MobSF Vulnerable to Zip Bomb Denial of Service via Per-File Size Limit Bypass in ZIP/APK Extraction

Summary When extracting uploaded ZIP/APK files, MobSF checks if individual files exceed ZIPMAXUNCOMPRESSEDFILESIZE 400 MB and logs "Skipping" — but the code lacks a continue statement, so extraction proceeds anyway. The log message is misleading; the file is still written to disk. Verified Impact...

MobSF has SSRF port restriction bypass in assetlinks_check

SummaryMobSF's Android App Link assetlinks checker validates only the manifest android:host value with validhost, but then appends the separate android:port value into the URL used for the server-side request. This bypasses the current port restriction in validhost and lets a crafted APK cause...

PYSEC-2026-3690 MobSF has SSRF port restriction bypass in assetlinks_check

Summary MobSF's Android App Link assetlinks checker validates only the manifest android:host value with validhost, but then appends the separate android:port value into the URL used for the server-side request. This bypasses the current port restriction in validhost and lets a crafted APK cause...

PYSEC-2026-3688 MobSF's CSRF checks not enforced after Django migration

Summary Django's CsrfViewMiddleware exists only in the deprecated MIDDLEWARECLASSES ignored since Django 2.0. The active MIDDLEWARE tuple does not include it. All authenticated web POST endpoints delete scan, upload, download APK, change password, manage users accept requests without CSRF tokens...

PYSEC-2026-3689 MobSF Vulnerable to Arbitrary File Read via Path Traversal in ZIP Uploads

Summary The findiconpathzip function in MobSF does not properly sanitize the android:icon attribute extracted from an Android manifest before resolving it as a filesystem path. An attacker can supply a malicious android:icon value containing path traversal sequences, causing MobSF to read arbitra...

CVE-2026-68924

creationtimestamp| type| source ---|---|--- 2026-08-18 20:35:08+00:00| published-proof-of-concept| https://github.com/MobSF/Mobile-Security-Framework-MobSF/security/advisories/GHSA-x768-8642-mmq9...

CVE-2026-68922

creationtimestamp| type| source ---|---|--- 2026-08-18 20:35:06+00:00| published-proof-of-concept| https://github.com/MobSF/Mobile-Security-Framework-MobSF/security/advisories/GHSA-8j49-mmcx-4mp5...

CVE-2026-68923

MobSF is a mobile application security testing tool used. Prior to 4.5.1, mobsf/MobSF/settings.py places django.middleware.csrf.CsrfViewMiddleware only in the deprecated MIDDLEWARECLASSES setting and omits it from the active MIDDLEWARE tuple, allowing a remote attacker to make a logged-in victim...

CVE-2026-68924

MobSF is a mobile application security testing tool used. Prior to 4.5.1, the unzip function in mobsf/StaticAnalyzer/views/common/sharedfunc.py logs that an archive member exceeding ZIPMAXUNCOMPRESSEDFILESIZE is being skipped but does not continue to the next member, so an authenticated user can...