CVE-2026-47361
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W wersjach aplikacji Datadog na Androida przed v541-5.9.2, BubbleChatActivity jest eksportowana bez zabezpieczenia uprawnieniami i akceptuje intencję SEND z podanym przez wywołującego identyfikatorem rozmowy. Gdy aktywność się zamyka i nie ma pasującej sesji w procesie, bezwarunkowo anuluje powiadomienie o ID 9201 (powiadomienie czatu Bits AI), bez sprawdzania tożsamości wywołującego lub własności rozmowy.
Ocena ryzyka
Złośliwa aplikacja współzainstalowana na urządzeniu ofiary może po cichu odrzucić powiadomienie czatu Bits AI ofiary. Nie ujawnia to treści czatu; dane rozmowy pozostają chronione przez uwierzytelnianie serwera i nigdy nie są zwracane wywołującemu.
Rekomendacja
Zaktualizuj aplikację Datadog na Androida do wersji v541-5.9.2 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w Datadog Android application
Zobacz wszystkie- CVE-2026-47364Średnie
W wersjach aplikacji Datadog na Androida przed v545-5.9.2 aplikacja taguje dane Crashlytics identyfikatorem UUID użytkownika Datadog, bez możliwości rezygnacji przez użytkownika. Wpływ: identyfikator UUID użytkownika Datadog i dane o awariach są widoczne w Firebase Crashlytics. Ten UUID nie identyfikuje użytkownika poza systemami Datadog.
- CVE-2026-47363Średnie
W wersjach aplikacji Datadog na Androida przed v541-5.9.2 eksportowana aktywność launcher AppActivity akceptuje sesję dostarczoną przez atakującego (w tym tokeny OAuth) z dodatków Intent bez zabezpieczenia uprawnieniami i loguje aplikację do tej sesji bez weryfikacji z backendem. Wymaga to złośliwej aplikacji współzainstalowanej na urządzeniu z aplikacją Datadog oraz tokenu OAuth, który atakujący chce załadować do aplikacji ofiary. Wpływ: współzainstalowana aplikacja może przełączyć aplikację Datadog ofiary na sesję kontrolowaną przez atakującego. Jest to problem pomylenia konta; nie ujawnia sam w sobie istniejącej sesji ani danych ofiary.
- CVE-2026-47362Średnie
W wersjach aplikacji Datadog na Androida przed v554-5.9.4, dwie bazy danych SQLite przechowują wrażliwe dane w postaci zwykłego tekstu: LocalNotificationDatabase (tytuł powiadomienia, wiadomość, odbiorca, usługa, tagi oraz linki do zdarzeń on-call/incident) oraz SearchRecentDatabase (pełna historia wyszukiwania użytkownika).
- CVE-2026-44965Średnie
W aplikacji Datadog na Androida przed wersją v545-5.9.2 sześć aktywności konfiguracji widgetów jest eksportowanych bez zabezpieczeń. Złośliwa aplikacja może wykorzystać sekwencyjne identyfikatory widgetów, aby przejąć sesję użytkownika i wyświetlić dane infrastruktury na ekranie.
- CVE-2026-44964Średnie
W wersjach aplikacji Datadog na Androida przed v545-5.9.2, OnCallNotificationActivity jest zadeklarowana jako eksportowana bez zabezpieczenia uprawnieniami. Współzainstalowana aplikacja może ją uruchomić z kontrolowanymi przez atakującego dodatkami intencji, w tym pełnoekranową wiadomością na ekranie blokady, dowolnym identyfikatorem strony on-call oraz dowolną intencją do uruchomienia w procesie Datadog.
Oryginalny opis (angielski, źródło NVD)
In versions of the Datadog Android application prior to v541-5.9.2, BubbleChatActivity is exported with no permission guard and accepts a SEND intent with a caller-supplied conversation_id. When the activity closes and no in-process session matches that ID, it unconditionally cancels notification ID 9201 (the Bits AI chat notification), with no check on the caller's identity or ownership of the conversation. This requires a malicious application co-installed on the victim's device. Impact: A co-installed application can silently dismiss the victim's Bits AI chat notification. No chat content is exposed; conversation data remains server-authentication gated and is never returned to the caller.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS