@mobilenext/mobile-mcp: mobile_open_url を介した任意の Android Intent の実行

mobile-mcp の CVE-2026-35394 は、特に mobileopenurl ツールにおいて、任意の Android インテントの実行を可能にします。これは、ツールがユーザーが提供する URL を、スキーム検証なしで Android インテントシステムに直接渡すためです。攻撃者はこれを悪用して、電話の発信、SMS メッセージの送信、コンテンツプロバイダーデータへのアクセス、または悪意のある USSD コードの実行など、Android デバイス上で望ましくないアクションを開始する可能性があります。この脆弱性の重大度は CVSS スケールで 8.3 と評価されており、高いリスクを示しています。

Organizations utilizing @mobilenext/mobile-mcp in their AI agent workflows or mobile application testing environments are at significant risk. Specifically, those relying on automated processes to handle URLs or those with legacy configurations that do not enforce strict URL validation are particularly vulnerable.

• nodejs: Inspect code for usage of adb shell am start -a android.intent.action.VIEW -d with user-supplied URLs without scheme validation.

grep -r 'adb shell am start -a android.intent.action.VIEW -d' . |
 grep -i 'url'

• generic web: Monitor access logs for requests containing suspicious URL schemes (tel:, sms:, mailto:, content://, market://).

grep -i 'tel:|sms:|mailto:|content:\/\/|market:\/\/' /var/log/apache2/access.log

1. 2026-04-04Disclosure

   disclosure

1. 予約済み2026-04-02
2. 公開日2026-04-04
3. 更新日2026-04-07
4. EPSS 更新日2026-04-14

この脆弱性の解決策は、mobile-mcp をバージョン 0.0.50 に更新することです。このバージョンは、Android インテントシステムに URL を渡す前に URL スキームを検証することで、この問題を修正しています。搾取のリスクを軽減するために、できるだけ早くこの更新を適用することを強くお勧めします。さらに、mobileopenurl を使用するすべてのスクリプトまたはプロセスを確認し、URL が信頼できるソースから提供され、潜在的に危険なスキームが含まれていないことを確認してください。インテントの実行に関連する疑わしいアクティビティについてシステムログを監視することも、潜在的な攻撃を検出および対応するのに役立ちます。