Audiobookshelf is a self-hosted audiobook and podcast server. A cross-site scripting (XSS) vulnerability exists in versions prior to 0.12.0-beta of the Audiobookshelf mobile application that allows arbitrary JavaScript execution through malicious library metadata. Attackers with library modification privileges (or control over a malicious podcast RSS feed) can execute code in victim users' WebViews, potentially leading to session hijacking, data exfiltration, and unauthorized access to native device APIs. audiobookshelf-app version 0.12.0-beta fixes the issue.
Audiobookshelf mobile app versions before 0.12.0-beta contain a stored XSS vulnerability in library metadata that allows privileged attackers to execute arbitrary JavaScript in WebViews. This can lead to session hijacking, data theft, and unauthorized access to device APIs through malicious podcast feeds or library modifications.
تحتوي نسخ تطبيق Audiobookshelf للهاتف المحمول السابقة للإصدار 0.12.0-beta على ثغرة XSS مخزنة تسمح للمهاجمين الذين لديهم امتيازات تعديل المكتبة أو التحكم في خلاصات RSS ضارة بتنفيذ كود JavaScript عشوائي في WebViews. يمكن لهذه الثغرة أن تؤدي إلى اختراق الجلسات وسرقة البيانات والوصول غير المصرح به إلى واجهات برمجة التطبيقات الأصلية للجهاز.
تطبيق Audiobookshelf للهاتف المحمول الإصدارات السابقة للإصدار 0.12.0-beta يحتوي على ثغرة XSS مخزنة في بيانات المكتبة تسمح للمهاجمين بتنفيذ كود JavaScript عشوائي. يمكن أن يؤدي هذا إلى اختراق الجلسات وسرقة البيانات والوصول غير المصرح به إلى واجهات برمجة التطبيقات للجهاز.
Immediately update Audiobookshelf mobile application to version 0.12.0-beta or later. Implement input validation and output encoding for all library metadata. Restrict library modification privileges to trusted users only. Monitor podcast RSS feeds for malicious content. Disable WebView JavaScript execution if not required.
قم بتحديث تطبيق Audiobookshelf للهاتف المحمول إلى الإصدار 0.12.0-beta أو أحدث فوراً. طبق التحقق من صحة المدخلات وترميز المخرجات لجميع بيانات المكتبة. قيد امتيازات تعديل المكتبة للمستخدمين الموثوقين فقط. راقب خلاصات RSS للبودكاست بحثاً عن محتوى ضار. عطل تنفيذ JavaScript في WebView إذا لم يكن مطلوباً.