CVE-2026-55287
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
GrantCredentialsPermissionActivity.java gère la manière dont le système demande des autorisations pour accéder aux identifiants de compte. Une faille dans la méthode `onCreate` permet à l'application d'induire le système en erreur afin d'obtenir ces autorisations via une interface utilisateur trompeuse ou insuffisante. Cela contourne concrètement le contrôle de sécurité prévu pour garantir qu'un utilisateur autorise consciemment l'accès aux identifiants.
Un attaquant disposant d'un accès local à l'appareil peut ainsi prendre le contrôle total des identifiants de compte, compromettant la confidentialité, l'intégrité et la disponibilité de ces données. L'exploitation est relativement facile à exécuter car elle ne nécessite aucun privilège particulier ni aucune interaction de la part de l'utilisateur. Toutefois, l'attaquant doit déjà disposer d'une certaine forme d'accès local au système pour déclencher la faille.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In onCreate of GrantCredentialsPermissionActivity.java, there is a possible way to trick the user into granting account credentials due to misleading or insufficient UI. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.