Handy News Reader: Exportierte Activity erlaubt Apps, beliebige URLs abrufen zu lassen
Die Android-App Handy News Reader (Paket ru.yanus171.feedexfork, versionCode 116) exportiert die Activity activity.LoadLinkLaterActivity ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App kann dieser Activity eine URL übergeben, die der Reader ohne Benutzerinteraktion abruft. Laut Advisory handelt es sich um einen unbeaufsichtigten Abruf auf Seiten des Opfers mit Einfügen in die Warteschlange, ohne Codeausführung und ohne Rückmeldung an den Angreifer. Der in der Eingabe genannte CVSS-Wert 7.5 konnte nicht verifiziert werden; VulDB nennt 4.3.
yanus171 · Handy News Reader (FeedEx)
