CVE-2026-59005
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Le MmsProvider d'Android, qui gère les messages multimédias, contient une faille dans son processus interne d'insertion de données. Le système ne vérifie pas correctement les permissions lors du traitement des requêtes provenant de différents profils d'utilisateurs sur un même appareil. Cela crée un défaut d'isolation multi-utilisateur permettant à un compte utilisateur d'interférer avec les données d'un autre.
Un attaquant local ou une application malveillante peut utiliser cette faille pour augmenter ses privilèges sur l'appareil. En contournant l'isolation, ils pourraient potentiellement accéder aux données de messagerie privée d'autres utilisateurs ou les modifier, compromettant ainsi la confidentialité et l'intégrité des données. Cette exploitation nécessite uniquement un accès local à l'appareil et peut être exécutée automatiquement sans aucune interaction de l'utilisateur.
RÉFÉRENCES
Description officielle du NVD (en anglais)
In insertInternal of MmsProvider.java, there is a possible multiuser isolation issue due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.