CVE-2026-55289

Certains composants des systèmes d'exploitation mobiles permettent aux applications de déclencher des codes USSD, qui sont de courtes chaînes de caractères réseau utilisées pour communiquer avec les fournisseurs de services. Une faille de type « confused deputy » (mandataire confus) existe lorsque anyone processus système privilégié peut être manipulé pour exécuter ces codes sensibles au nom d'une application non privilégiée. Cela se produit parce que le système ne parvient pas à valider correctement la source ou l'intention de la requête avant de traiter la commande.

Un attaquant ayant un accès local à l'appareil peut utiliser cette faille pour exécuter des commandes administratives, ce qui peut conduire à une escalade complète des privilèges. Cela donne à l'attaquant un contrôle total sur la confidentialité, l'intégrité et la disponibilité de l'appareil. Comme l'attaque ne nécessite aucune interaction de l'utilisateur ni de permissions spéciales, elle est relativement facile à exécuter une fois qu'une application malveillante est installée sur le système.