CVE-2025-26433
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Android est affecté par une faille qui permet à une application malveillante de masquer sa véritable intention via une attaque par tapjacking ou par superposition (overlay). Cela se produit lorsqu'une application affiche une couche invisible ou trompeuse par-dessus les boîtes de dialogue de permission du système. En incitant l'utilisateur à cliquer sur un bouton qu'il ne voit pas, l'application peut contourner les alertes de sécurité.
Un attaquant peut utiliser ce procédé pour obtenir des permissions non autorisées, entraînant une élévation locale de privilèges sur l'appareil. Cela compromet l'intégrité et la confidentialité du système en accordant à l'application l'accès à des données ou des fonctionnalités auxquelles elle ne devrait pas avoir accès. L'exploitation nécessite que l'application malveillante soit installée localement et repose entièrement sur le fait de tromper l'utilisateur pour qu'il interagisse avec l'écran.
RÉFÉRENCES
Description officielle du NVD (en anglais)
In multiple locations, there is a possible way to trick a user into accepting a permission due to a tapjacking/overlay attack. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is needed for exploitation.