CVE-2026-0087
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W funkcji approvalLevelForDomainInternal pliku DomainVerificationService.java istnieje możliwość przejęcia dowolnego linku aplikacji z powodu błędu logicznego w kodzie. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień. Interakcja użytkownika nie jest wymagana.
Ocena ryzyka
Lokalny atakujący może przejąć linki aplikacji, co może prowadzić do nieautoryzowanego dostępu do danych lub funkcji.
Rekomendacja
Zastosuj poprawkę od producenta, która naprawia błąd logiczny w DomainVerificationService.java.
Inne podatności w Android
Zobacz wszystkie- CVE-2016-0833Wysokie
Android umożliwia użytkownikom spowodowanie odmowy usługi.
- CVE-2025-48595WysokieAktywnie exploitowane
W wielu lokalizacjach istnieje możliwość wykonania kodu z powodu przepełnienia liczby całkowitej. Prowadzi to do lokalnej eskalacji uprawnień bez dodatkowych uprawnień i bez interakcji użytkownika.
- CVE-2025-48626Krytyczne
W wielu miejscach istnieje możliwość uruchomienia aplikacji z tła z powodu błędu w sprawdzaniu warunków wstępnych. Może to prowadzić do zdalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2016-3877Krytyczne
Nieokreślona podatność w systemie Android przed 2016-09-01, której wpływ i wektory ataku są nieznane.
- CVE-2026-49189Wysokie
Niesprawdzone uprawnienia dostępu publicznego do podstawowego odbiornika rozgłoszeniowego (Broadcast Receiver) umożliwiają nieautoryzowanym lokalnym komponentom oprogramowania wywoływanie operacji administracyjnych.
- CVE-2026-24088Wysokie
Problem kryptograficzny podczas przetwarzania określonej partycji umożliwia nieautoryzowany zapis w celu załadowania niestandardowego bootloadera.
- CVE-2026-28586Niskie
W wielu funkcjach pliku AppOpsService.java występuje brak sprawdzenia uprawnień z powodu obejścia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień. Interakcja użytkownika nie jest wymagana.
- CVE-2026-28581Średnie
W metodzie fixInitiatingUserIfNecessary w CallIntentProcessor.java występuje błąd logiczny umożliwiający wykonanie połączenia alarmowego bez odpowiednich uprawnień.
- CVE-2026-28580Wysokie
W wielu funkcjach występuje możliwa desynchronizacja trwałości z powodu nieprawidłowego sprawdzania granic. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2026-28578Średnie
W wielu funkcjach DevicePolicyManagerService.java występuje problem desynchronizacji z trwałym przechowywaniem danych z powodu nieprawidłowej walidacji wejścia, co może prowadzić do lokalnej odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
In approvalLevelForDomainInternal of DomainVerificationService.java, there is a possible way to hijack an arbitrary app link due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.