CVE-2026-47363
Publiée le 2026-08-07 · Dernière modification le 2026-10-23
L'application Android Datadog (versions antérieures à la v541-5.9.2) est affectée par une faille qui permet à une application malveillante installée sur le même appareil de forcer l'application Datadog à se connecter à un compte contrôlé par l'attaquant. Il s'agit d'une attaque par confusion de compte qui ne divulgue pas les données privées de la victime, mais bascule plutôt la session active vers celle de l'attaquant. Pour réussir cette opération, l'attaquant doit avoir installé une application malveillante sur l'appareil et nécessite un certain niveau d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In versions of the Datadog Android application prior to v541-5.9.2, the exported launcher activity AppActivity accepts an attacker-supplied session (including OAuth tokens) from Intent extras with no permission guard, and signs the app into that session without validating it against the backend. This requires a malicious application co-installed on a device with the Datadog app installed, and an OAuth token the attacker is willing to load into the victim's app. Impact: A co-installed application can switch the victim's Datadog app to a session the attacker controls. This is an account-confusion issue; it does not by itself expose the victim's existing session or data.