CVE-2026-47363
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W wersjach aplikacji Datadog na Androida przed v541-5.9.2 eksportowana aktywność launcher AppActivity akceptuje sesję dostarczoną przez atakującego (w tym tokeny OAuth) z dodatków Intent bez zabezpieczenia uprawnieniami i loguje aplikację do tej sesji bez weryfikacji z backendem. Wymaga to złośliwej aplikacji współzainstalowanej na urządzeniu z aplikacją Datadog oraz tokenu OAuth, który atakujący chce załadować do aplikacji ofiary. Wpływ: współzainstalowana aplikacja może przełączyć aplikację Datadog ofiary na sesję kontrolowaną przez atakującego. Jest to problem pomylenia konta; nie ujawnia sam w sobie istniejącej sesji ani danych ofiary.
Ocena ryzyka
Atakujący może przejąć kontrolę nad sesją użytkownika w aplikacji Datadog, co może prowadzić do nieautoryzowanego dostępu do danych lub działań w kontekście konta ofiary, choć nie ujawnia istniejących danych.
Rekomendacja
Zaktualizuj aplikację Datadog na Androida do wersji v541-5.9.2 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
In versions of the Datadog Android application prior to v541-5.9.2, the exported launcher activity AppActivity accepts an attacker-supplied session (including OAuth tokens) from Intent extras with no permission guard, and signs the app into that session without validating it against the backend. This requires a malicious application co-installed on a device with the Datadog app installed, and an OAuth token the attacker is willing to load into the victim's app. Impact: A co-installed application can switch the victim's Datadog app to a session the attacker controls. This is an account-confusion issue; it does not by itself expose the victim's existing session or data.