Working Time Account: Exportierte Komponente erlaubt gefälschte Feiertagseinträge
Die Feiertags-Importkomponente (feiertage.ImportActivity) der Android-App Working Time Account (Arbeitszeiterfassung2) ist exportiert und erfordert keine Berechtigungen. Eine App ohne Berechtigungen, die auf demselben Gerät installiert ist, kann präparierte ICS-Daten an diese Komponente senden und dadurch ohne Benutzerinteraktion gefälschte Feiertagseinträge in die Arbeitszeitdatenbank der App schreiben. Die CVE-Daten nennen CVSS 8.8, die Recherche fand jedoch widersprüchliche Bewertungen (VulDB 3.5), weshalb der Schweregrad noch nicht verifiziert ist; die Auswirkung beschränkt sich auf die Integrität der Zeiterfassung.
Askanimus · Working Time Account
