Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-127209 es un fallo de tipo path traversal (CWE-22) en la aplicación Xiaomi Mi Browser para Android. Se encuentra en el componente exportado ThirdDocViewerActivity. La función CopyExternalFile.copyFromUri() copia flujos de datos de un proveedor de contenido usando un nombre de archivo no sanitizado, tomado de la columna _display_name. Un atacante puede inyectar secuencias como .. en este nombre para que el navegador escriba bytes controlados por él en una ruta arbitraria dentro de su propio directorio de almacenamiento externo, escapando así de la ubicación de almacenamiento temporal prevista (cache_docs).
Productos y versiones afectadas
La vulnerabilidad afecta a la aplicación Xiaomi Mi Browser para Android (identificador de paquete: com.mi.globalbrowser) en versiones anteriores a la 14.66.0-gn.
Impacto y probabilidad de explotación
Una aplicación maliciosa sin permisos y que esté instalada en el mismo dispositivo puede explotar esta falla sin requerir interacción del usuario. El impacto permite el descubrimiento y manipulación de archivos (técnica MITRE ATT&CK T1083). INCIBE-CERT de España clasifica la severidad como P (probablemente baja). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente accesibles desde la red pública. La puntuación CVSS es de 4.0 (nivel medio).
Qué hacer
Los usuarios deben actualizar la aplicación Xiaomi Mi Browser a la versión 14.66.0-gn o superior, disponible en la tienda de aplicaciones correspondiente.
| CVE | CVE-2026-127209 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 4.0 / 10 |
| CWE | CWE-22 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.