Voki Bot: Unsichere Exportierung von ShortcutDispatchActivity erlaubt unbefugtes Wiederholen von Automationen
Voki Bot für Android (net.canvoki.vokibot) exportiert die Komponente ShortcutDispatchActivity ohne Berechtigungsprüfung. Eine schädliche App auf demselben Gerät kann sie mit einer bekannten Trigger-ID starten und so die konfigurierten Automationen des Benutzers ausführen lassen, beispielsweise das Öffnen der Systemeinstellungen. Der Angreifer benötigt weder Berechtigungen noch Benutzerinteraktion, doch Trigger und Automation müssen bereits in den Anwendungsdaten des Opfers vorhanden sein.
canvoki · Voki Bot
