在 Readwise Reader for Android 8.7.2 版本中已发现三个跨站脚本（XSS）漏洞。攻击者可通过创建恶意文档或元数据利用这些缺陷。成功利用后，可在应用程序的 WebView 内执行任意 JavaScript 代码，可能导致用户数据（包括文档、凭证和会话令牌）泄露。CVE-2026-18311 影响标题渲染，原因是元数据字段（如作者和标题）的 HTML 转义不足。CVE-2026-18312 影响 X 视频和 iOS 付费墙消息的 WebView URL 构建，原因是 URL 元数据转义不当。CVE-2026-18320 源于文章正文清理中的通配符属性规则，允许恶意 SVG 标记注入。这些漏洞在文档同步至 Android 设备时会导致存储型 XSS。尽管目前无法联系到厂商，但据报道版本 8.10.1 已修复 sanitizer-wildcard 相关问题。建议用户更新应用程序，并对不可信内容保持警惕。