CVE-2026-47361
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W wersjach aplikacji Datadog na Androida przed v541-5.9.2, BubbleChatActivity jest eksportowana bez zabezpieczenia uprawnieniami i akceptuje intencję SEND z podanym przez wywołującego identyfikatorem rozmowy. Gdy aktywność się zamyka i nie ma pasującej sesji w procesie, bezwarunkowo anuluje powiadomienie o ID 9201 (powiadomienie czatu Bits AI), bez sprawdzania tożsamości wywołującego lub własności rozmowy.
Ocena ryzyka
Złośliwa aplikacja współzainstalowana na urządzeniu ofiary może po cichu odrzucić powiadomienie czatu Bits AI ofiary. Nie ujawnia to treści czatu; dane rozmowy pozostają chronione przez uwierzytelnianie serwera i nigdy nie są zwracane wywołującemu.
Rekomendacja
Zaktualizuj aplikację Datadog na Androida do wersji v541-5.9.2 lub nowszej, która zawiera poprawkę zabezpieczającą.
Oryginalny opis (angielski, źródło NVD)
In versions of the Datadog Android application prior to v541-5.9.2, BubbleChatActivity is exported with no permission guard and accepts a SEND intent with a caller-supplied conversation_id. When the activity closes and no in-process session matches that ID, it unconditionally cancels notification ID 9201 (the Bits AI chat notification), with no check on the caller's identity or ownership of the conversation. This requires a malicious application co-installed on the victim's device. Impact: A co-installed application can silently dismiss the victim's Bits AI chat notification. No chat content is exposed; conversation data remains server-authentication gated and is never returned to the caller.