В Readwise Reader для Android версии 8.7.2 выявлены три уязвимости межсайтового скриптинга. Злоумышленники могут использовать эти недостатки, создавая вредоносные документы или метаданные. Успешная эксплуатация позволяет выполнять произвольный JavaScript в WebView приложения. Это может привести к компрометации пользовательских данных, включая документы, учетные данные и токены сеанса. CVE-2026-18311 затрагивает рендеринг заголовков из-за недостаточного экранирования HTML в полях метаданных, таких как автор и название. CVE-2026-18312 влияет на построение URL в WebView для X-видео и сообщений об оплате в iOS из-за неправильного экранирования метаданных URL. CVE-2026-18320 возникает из-за правила подстановочного знака в атрибуте при очистке тела статьи, что позволяет использовать вредоносную разметку SVG. Эти уязвимости позволяют реализовать хранимый XSS при синхронизации документов с устройствами Android. Хотя связаться с поставщиком не удалось, версия 8.10.1, по сообщениям, исправляет проблему с подстановочным знаком в санитайзере. Пользователям рекомендуется обновить приложение и проявлять осторожность при работе с недоверенным контентом.