Joyland AI WebView принимает недействительные SSL-сертификаты — CVE-2026-102671
В приложении Joyland.ai невидимый рекламный WebView по умолчанию принимает недействительные SSL-сертификаты. Это открывает возможность для атак «человек посередине» (MITM) и компрометации трафика пользователей. Уязвимость средней критичности — CVSS 5.3.
Подробности
Уязвимости присвоен идентификатор CVE-2026-102671. Согласно описанию, приложение Joyland AI принимает недействительные SSL-сертификаты в невидимом рекламном WebView по умолчанию. Иными словами, компонент WebView не выполняет корректную валидацию цепочки доверия сертификата и не отклоняет соединение при обнаружении самоподписанного, просроченного или иным образом некорректного сертификата. Базовый показатель уязвимости по шкале CVSS — 5.3 (MEDIUM). Такой уровень отражает существенную, но не критическую опасность: эксплуатация требует от атакующего нахождения в позиции посредника между устройством пользователя и удалённым сервером (например, в рамках атаки «человек посередине» в общедоступной Wi-Fi-сети), а также определённого уровня сложности. При этом возможные последствия включают перехват и подмену содержимого, загружаемого в WebView, что может привести к отображению произвольного рекламного или вредоносного контента. Поскольку WebView работает невидимо для пользователя, факт компрометации соединения остаётся незаметным: экран приложения не отображает признаков подмены, а вредоносный код может загружаться в фоне без явного взаимодействия со стороны владельца устройства. Это осложняет обнаружение атаки стандартными средствами визуального контроля. Затронут продукт Joyland.ai. Точные версии приложения, в которых присутствует уязвимость, в записи CVE не указаны — это следует уточнять у поставщика.Что делать
Основная рекомендация — обновить приложение Joyland.ai до актуальной версии, в которой разработчик устранил проблему. Если обновление недоступно: - Избегайте использования приложения в недоверенных сетях Wi-Fi, где риск MITM-атак наиболее высок; - Рассмотрите возможность ограничения фоновой сетевой активности приложения средствами операционной системы; - Следите за официальными уведомлениями разработчика о выпуске исправления и сроках его доступности. Организациям, использующим корпоративные политики безопасности на мобильных устройствах (MDM), имеет смысл проверить, входит ли Joyland.ai в разрешённый список приложений, и при необходимости ограничить его использование до выхода патча. Итог: уязвимость CVE-2026-102671 в Joyland.ai относится к классу средней критичности и связана с отсутствием проверки SSL-сертификатов в рекламном WebView. Прямого удалённого выполнения кода она не даёт, однако создаёт условия для перехвата и подмены трафика. Ключевая мера защиты — своевременное обновление приложения и осторожность при работе в незащищённых сетях.Источник: CVE Project (cvelistV5)