Worklight - Google Play应用中的Apache Cordova漏洞

时间:2014-10-02 06:37:44

标签: android cordova ibm-mobilefirst

最近我们收到了来自google play store的邮件:

"这是一个通知,您的应用程序是基于包含安全漏洞的Apache Cordova版本构建的。这包括高严重性的跨应用程序脚本(XAS)漏洞。在某些情况下,可以远程利用易受攻击的应用程序来窃取敏感信息,例如用户登录凭据。 您应该尽快升级到Apache Cordova 3.5.1或更高版本。"

我们的应用程序基于Worklight 5.0.6构建,它具有2.3版的cordova版本。但问题是最新版本的worklight(6.2)提供了cordova版本3.4。那么我们怎样才能将cordova版本升级到3.5.1?

我们应该怎样做才能解决这个问题?任何帮助都会非常感激。

1 个答案:

答案 0 :(得分:3)

有关详细信息,请参阅此博文:Google Play Store incorrectly flagging Worklight apps


Worklight已经解决了这些安全漏洞。

请参阅以下博客文章,其中还包含说明:Action Required: Cordova-Android Security Update

所有Worklight版本的较新iFix都包含以下安全修复程序:

  • CVE-2014-3500 - 通过Android意图网址的Cordova跨应用程序脚本
  • CVE-2014-3501 - 非http网址的Cordova白名单旁路
  • CVE-2014-3502 - Cordova应用程序可能会通过Android意图URL将数据泄漏到其他应用程序

您需要访问IBM Fix Central并为您的Worklight版本下载最新的可用iFix,重建应用程序并重新提交,以便用户可以下载应用程序的更新版本。 如果您提到的Google笔记未提及上述已解决的问题,请提供指向Cordova的文档或相关错误编号的链接。