CVE-2026-58943
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le composant `AddAccountSettings.java` du logiciel concerné contient une faille de type « confused deputy » (mandataire confus). Cela se produit lorsqu'un processus privilégié est trompé pour effectuer une action au nom d'un utilisateur non autorisé. En déclenchant le lancement d'une activité en arrière-plan, un utilisateur local peut contourner les restrictions de sécurité prévues.
Un attaquant ayant un accès local à l'appareil peut obtenir une élévation complète de privilèges, lui accordant un contrôle de haut niveau sur la confidentialité, l'intégrité et la disponibilité. Cet exploit est relativement simple à exécuter car il ne nécessite aucune authentification préalable, aucune interaction de l'utilisateur et aucun privilège d'exécution spécial. Bien qu'il ne puisse pas être déclenché à distance via un réseau, il pose un risque important pour la sécurité du système local.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In run of AddAccountSettings.java, there is a possible background activity launch due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.