CVE-2026-108544: path traversal в Lippu Docx Reader Office Viewer App
В Lippu Docx Reader Office Viewer App для Android обнаружена уязвимость обхода пути (path traversal). Атака возможна удалённо и затрагивает функцию ViewTxt. Уязвимости присвоена средняя степень опасности — CVSS 5.3.
Подробности
Уязвимость связана с функцией word.office.docxviewer.document.docx.reader.ViewTxt. При обработке аргумента _display_name происходит некорректная валидация пользовательских данных, что позволяет осуществить обход пути. Это даёт возможность манипулировать путями к файлам за пределами ожидаемого каталога. Согласно оценке CVSS, уязвимости присвоен базовый балл 5.3, что соответствует средней степени опасности (MEDIUM). Атака может быть выполнена удалённо (remote), что повышает потенциальную поверхность воздействия: злоумышленнику не требуется физический доступ к устройству жертвы. На момент публикации записи CVE информация о наличии эксплойта и об авторе находки в официальном описании не приводится.Что делать
Основная рекомендация — отслеживать выпуск обновлений Lippu Docx Reader Office Viewer App и установить версию, в которой уязвимость устранена, как только она станет доступна в магазине приложений. Пользователям, у которых нет возможности оперативно обновиться, следует проявлять осторожность при открытии документов DOCX из ненадёжных источников и избегать обработки файлов, полученных от неизвестных отправителей. В качестве дополнительной меры защиты целесообразно ограничить круг приложений, имеющих доступ к файловой системе устройства, и применять принцип минимально необходимых разрешений на уровне операционной системы Android. Организациям, использующим данное приложение в корпоративной среде, рекомендуется проверить мобильные устройства сотрудников на наличие уязвимой версии и включить её в контур управления уязвимостями. Итог: CVE-2026-108544 — уязвимость обхода пути в Lippu Docx Reader Office Viewer App (до 1.4.5 включительно) со средней степенью опасности и удалённым вектором атаки. Ключевая мера защиты — своевременное обновление приложения и осторожность при работе с документами из недоверенных источников.Источник: CVE Project (cvelistV5)