AnyMemo: Unsichere Berechtigungen in CardProvider legen Karteikarten offen
AnyMemo, eine Karteikarten-Lern-App für Android, exportiert ihren Content Provider CardProvider ohne Berechtigungsprüfung in Build 20260730. Jede App, die auf demselben Gerät installiert ist, kann Fragen, Antworten und Deck-Namen der Karteikarten ohne Laufzeitberechtigungen oder Benutzerinteraktion lesen. Der Angriff setzt voraus, dass auf dem Opfergerät mindestens ein Deck im Speicherpfad liegt und ältere Speicherzugriffe ausreichend sind; die Offenlegung ist rein lesend. Der CVSS-Wert von 9.1 ist durch NVD noch nicht verifiziert.
helloworld1 · AnyMemo
