CVE-2026-0088
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W funkcji getCallingAppLabel pliku CertInstaller.java istnieje możliwość ukrycia wrażliwego okna dialogowego bezpieczeństwa z powodu mylącego lub niewystarczającego interfejsu użytkownika. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień. Interakcja użytkownika nie jest wymagana.
Ocena ryzyka
Lokalny atakujący może ukryć ważne ostrzeżenie bezpieczeństwa, co może prowadzić do nieautoryzowanych działań.
Rekomendacja
Zastosuj poprawkę od producenta, która poprawia interfejs użytkownika w CertInstaller.java.
Inne podatności w Android
Zobacz wszystkie- CVE-2016-0833Wysokie
Android umożliwia użytkownikom spowodowanie odmowy usługi.
- CVE-2025-48595WysokieAktywnie exploitowane
W wielu lokalizacjach istnieje możliwość wykonania kodu z powodu przepełnienia liczby całkowitej. Prowadzi to do lokalnej eskalacji uprawnień bez dodatkowych uprawnień i bez interakcji użytkownika.
- CVE-2025-48626Krytyczne
W wielu miejscach istnieje możliwość uruchomienia aplikacji z tła z powodu błędu w sprawdzaniu warunków wstępnych. Może to prowadzić do zdalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2016-3877Krytyczne
Nieokreślona podatność w systemie Android przed 2016-09-01, której wpływ i wektory ataku są nieznane.
- CVE-2026-49189Wysokie
Niesprawdzone uprawnienia dostępu publicznego do podstawowego odbiornika rozgłoszeniowego (Broadcast Receiver) umożliwiają nieautoryzowanym lokalnym komponentom oprogramowania wywoływanie operacji administracyjnych.
- CVE-2026-24088Wysokie
Problem kryptograficzny podczas przetwarzania określonej partycji umożliwia nieautoryzowany zapis w celu załadowania niestandardowego bootloadera.
- CVE-2026-28586Niskie
W wielu funkcjach pliku AppOpsService.java występuje brak sprawdzenia uprawnień z powodu obejścia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień. Interakcja użytkownika nie jest wymagana.
- CVE-2026-28581Średnie
W metodzie fixInitiatingUserIfNecessary w CallIntentProcessor.java występuje błąd logiczny umożliwiający wykonanie połączenia alarmowego bez odpowiednich uprawnień.
- CVE-2026-28580Wysokie
W wielu funkcjach występuje możliwa desynchronizacja trwałości z powodu nieprawidłowego sprawdzania granic. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana.
- CVE-2026-28578Średnie
W wielu funkcjach DevicePolicyManagerService.java występuje problem desynchronizacji z trwałym przechowywaniem danych z powodu nieprawidłowej walidacji wejścia, co może prowadzić do lokalnej odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
In getCallingAppLabel of CertInstaller.java, there is a possible way to hide a sensitive security dialogue due to misleading or insufficient UI. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.