Readwise Reader for Android バージョン 8.7.2 で 3 つのクロスサイトスクリプティング脆弱性が特定されました。攻撃者は悪意のあるドキュメントまたはメタデータを作成することで、これらの欠陥を悪用できます。悪用に成功すると、アプリケーションの WebView 内で任意の JavaScript を実行できるようになります。これにより、ドキュメント、認証情報、セッショントークンを含むユーザーデータの侵害につながる可能性があります。CVE-2026-18311 は、著者やタイトルなどのメタデータフィールドの HTML エスケープが不十分なため、ヘッダーレンダリングに影響します。CVE-2026-18312 は、X 動画および iOS ペイウォールメッセージの WebView URL 構築に影響します。これは、URL メタデータの不適切なエスケープが原因です。CVE-2026-18320 は、記事本文のサニタイズにおけるワイルドカード属性ルールに起因し、悪意のある SVG マークアップを許可します。これらの脆弱性により、ドキュメントが Android デバイスに同期されると、保存型 XSS が可能になります。ベンダーには連絡が取れていませんが、バージョン 8.10.1 ではサニタイザーワイルドカードの問題が修正されていると報告されています。ユーザーはアプリを更新し、信頼できないコンテンツには注意を払うようにアドバイスされています。