CVE-2026-58970
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
AppTimeTracker gère des données de suivi du temps et est affecté par une faille dans la méthode `deliverResult` de son implémentation Java. Le problème provient d'un scénario de « délégué confus » (confused deputy), où l'application peut être trompée pour lancer des activités en arrière-plan qu'elle ne devrait pas exécuter. Cela permet à un attaquant de contourner les restrictions prévues sur la manière dont l'application interagit avec le système sous-jacent.
Une exploitation réussie permet à un attaquant local d'obtenir une élévation complète de privilèges, compromettant la confidentialité, l'intégrité et la disponibilité du système. L'attaque est relativement facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et aucun privilège d'exécution particulier. Toutefois, l'attaquant doit déjà disposer d'un accès local à l'appareil pour déclencher la faille.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In deliverResult of AppTimeTracker.java, there is a possible background activity launch due to a confused deputy. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.