Simple Contacts Pro: Unsachgemässe Freigabe eines Content Providers legt private Kontakte offen
Simple Contacts Pro mit versionCode 107 (laut Advisory auch 108) deklariert einen exportierten Content Provider ohne jegliche Berechtigungsanforderung. Jede auf demselben Android-Gerät installierte App kann diesen abfragen und private lokale Kontakte auslesen, darunter Namen, Telefonnummern, Geburtstage und Jahrestage, sofern die Einstellung für ausgeblendete Kontakte aktiviert ist, was standardmässig der Fall ist. Der Provider ist nur lesend, und es wird weder Codeausführung noch Rechteerweiterung beansprucht. Der NVD-Eintrag führt CVSS 9.1 mit Netzwerk als Angriffsvektor, was nicht zur lokalen Natur dieser im Advisory beschriebenen Schwachstelle passt.
Simple Mobile Tools · Simple Contacts Pro
