CVE-2026-49931
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Android gère le partage de données entre les applications via la méthode `onActivityResult`, utilisée lorsqu'une application demande un résultat à une autre. Une faille de type « confused deputy » (mandataire confus) dans ce processus permet à une application de tromper le système pour lui faire divulguer des informations de contact provenant d'un profil utilisateur protégé. Cela contourne concrètement les barrières de sécurité conçues pour maintenir l'isolement des données du profil.
Un attaquant local peut exploiter cette faille pour obtenir un accès de haut niveau à des données de contact sensibles, compromettant ainsi la confidentialité, l'intégrité et la disponibilité de ces informations. Comme l'attaque ne nécessite aucun privilège particulier, aucune interaction de l'utilisateur et présente un faible niveau de complexité, elle peut être exécutée automatiquement par une application malveillante installée sur l'appareil.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In onActivityResult in multiple locations, there is a possible contact leak from protected profile due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.