CVE-2026-115724
NiskieCVSS 2.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
VLC for Android przed wersją 3.7.2 zawiera podatność nadpisania plików typu confused-deputy w FileUtils.getUri(), która ufa URI zawartości wyłącznie na podstawie uprawnień com.fsck.k9.attachmentprovider lub gmail-ls. Współzainstalowana aplikacja bez uprawnień może zadeklarować te uprawnienia i wysłać spreparowany intent VIEW do eksportowanego StartActivity, zmuszając VLC do zapisania wybranej przez atakującego treści pod wybraną nazwą w współdzielonym katalogu Download, nadpisując pliki innych aplikacji, gdy VLC posiada dostęp do wszystkich plików.
Ocena ryzyka
Złośliwa aplikacja może nadpisać pliki innych aplikacji w katalogu Download, co prowadzi do utraty danych lub podmiany treści.
Rekomendacja
Zaktualizuj VLC for Android do wersji 3.7.2 lub nowszej i ogranicz uprawnienia dostępu do wszystkich plików dla aplikacji VLC.
Inne podatności w VLC for Android
Oryginalny opis (angielski, źródło NVD)
VLC for Android before 3.7.2 contains a confused-deputy file overwrite vulnerability in FileUtils.getUri() that trusts content URIs based only on the com.fsck.k9.attachmentprovider or gmail-ls authority. A co-installed app without permissions can declare these authorities and send a crafted VIEW intent to the exported StartActivity, making VLC write attacker-chosen content under an attacker-chosen name in the shared Download directory, overwriting other apps' files when VLC holds All files access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS