Newest papers

A Hybrid Information Flow Analysis Framework for Android Hybrid Apps

Jyoti Prakash, Mikkel Baun Kjærgaard, Abhishek Tiwari · 2026 · arXiv (Cornell University)

DOI: 10.48550/arxiv.2610.27288 · cited by 0 works (OpenAlex) · open-access PDF

Vietnamese

Giao diện WebView cố định trong các ứng dụng Android (hibrid) cho phép các ứng dụng bản địa (ví dụ, Java) trao đổi dữ liệu với Web (ví dụ, JavaScript). Điều này tạo ra các kênh lưu lượng thông tin đa ngôn ngữ mà các nhà phân tích ngôn ngữ duy nhất hiện có không thể phân tích. Các phân tích ứng dụng lai hiện tại chỉ giải quyết một phần của vấn đề: một số xây dựng các biểu đồ gọi thông minh cầu nhưng cung cấp phân tích lưu lượng thông tin hạn chế, một số phụ thuộc vào các giả định thô, và một số chỉ tập trung vào các lỗ hổng web. Chúng tôi trình bày MifDroid, một khuôn khổ phân tích năng động được hướng dẫn bằng phân tích tĩnh, với biểu đồ nhận thức vòng đời cho mỗi cuộc gọi WebView, một hệ thống phân tích kiểu và hiệu ứng thông minh cầu nối, và một công cụ phân tích JavaScript mô

Machine translation (Meta M2M100); the English original follows.

Abstract

The WebView interface in Android (hybrid) applications enables the native side (e.g., Java) to exchange data with the Web (e.g., JavaScript). This creates cross-language information flow channels that existing single-language analyzers cannot analyze. Existing hybrid app analyses address only part of the problem: some build bridge-aware call graphs but provide limited information-flow analysis, some rely on coarse assumptions, and some focus only on web vulnerabilities. We present MifDroid, a static-analysis- guided dynamic-analysis framework with a lifecycle-aware per-WebView call graph, a bridge-aware type-and-effect system, and a modular JavaScript analysis engine. We evaluated MifDroid on 338 apps from the F-Droid repository (out of 4,126 total) that use addJavascriptInterface, enabling active communication between Java and JavaScript. Our guided dynamic phase adds 662 entries to the 444 produced by static analysis, raising the resolution rate from 36.5% to 74.5%, produces the resolved bridge-related entries for 115 apps that static analysis leaves empty. MifDroid reported 14 vulnerable cross-language information flows, five of which have been accepted and fixed by the maintainers.

Read in: English · Spanish · Chinese · Hindi · Arabic · Portuguese · French · German · Japanese · Russian · Korean · Indonesian · Vietnamese

Topics: Computer science, Android (operating system), JavaScript, Java, Static analysis, Modular design

Sources: OpenAlex (CC0), arXiv, Crossref. Agent Exchange