Neue Schwachstellen – verständlich aufbereitet

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Share 2 Archive Today: Unsichere Komponentenfreigabe erlaubt Überschreiben der Zwischenablage

Share 2 Archive Today für Android, versionCode 61, stellt eine Activity ohne Berechtigungsschutz und ohne Prüfung des Aufrufers bereit. Jede auf demselben Gerät installierte App kann diese mit einer manipulierten URL starten und den Inhalt der Zwischenablage stillschweigend ersetzen. Der Angreifer kann die Zwischenablage weder lesen noch Code ausführen, und das Opfer muss nur die App installiert haben, doch der nächste Einfügevorgang kann dann vom Angreifer kontrollierten Inhalt enthalten.

Gnosco · Share 2 Archive Today

Recherche und Übersetzung laufen – in Kürze hier.

AnyMemo: Unsichere Berechtigungen in CardProvider legen Karteikarten offen

AnyMemo, eine Karteikarten-Lern-App für Android, exportiert ihren Content Provider CardProvider ohne Berechtigungsprüfung in Build 20260730. Jede App, die auf demselben Gerät installiert ist, kann Fragen, Antworten und Deck-Namen der Karteikarten ohne Laufzeitberechtigungen oder Benutzerinteraktion lesen. Der Angriff setzt voraus, dass auf dem Opfergerät mindestens ein Deck im Speicherpfad liegt und ältere Speicherzugriffe ausreichend sind; die Offenlegung ist rein lesend. Der CVSS-Wert von 9.1 ist durch NVD noch nicht verifiziert.

helloworld1 · AnyMemo

Handy News Reader: Exportierte Activity erlaubt Apps, beliebige URLs abrufen zu lassen

Die Android-App Handy News Reader (Paket ru.yanus171.feedexfork, versionCode 116) exportiert die Activity activity.LoadLinkLaterActivity ohne Berechtigungsprüfung. Jede auf demselben Gerät installierte App kann dieser Activity eine URL übergeben, die der Reader ohne Benutzerinteraktion abruft. Laut Advisory handelt es sich um einen unbeaufsichtigten Abruf auf Seiten des Opfers mit Einfügen in die Warteschlange, ohne Codeausführung und ohne Rückmeldung an den Angreifer. Der in der Eingabe genannte CVSS-Wert 7.5 konnte nicht verifiziert werden; VulDB nennt 4.3.

yanus171 · Handy News Reader (FeedEx)

Working Time Account: Exportierte Komponente erlaubt gefälschte Feiertagseinträge

Die Feiertags-Importkomponente (feiertage.ImportActivity) der Android-App Working Time Account (Arbeitszeiterfassung2) ist exportiert und erfordert keine Berechtigungen. Eine App ohne Berechtigungen, die auf demselben Gerät installiert ist, kann präparierte ICS-Daten an diese Komponente senden und dadurch ohne Benutzerinteraktion gefälschte Feiertagseinträge in die Arbeitszeitdatenbank der App schreiben. Die CVE-Daten nennen CVSS 8.8, die Recherche fand jedoch widersprüchliche Bewertungen (VulDB 3.5), weshalb der Schweregrad noch nicht verifiziert ist; die Auswirkung beschränkt sich auf die Integrität der Zeiterfassung.

Askanimus · Working Time Account

Ghost Commander: Unsichere Komponenten-Freigabe erlaubt Dateizugriff

Der Ghost Commander File Manager für Android, versionCode 479, stellt einen exportierten Content Provider (StreamProvider) ohne Berechtigungsprüfung bereit. Eine lokal installierte App ohne Laufzeitberechtigungen kann durch Angabe einer Datei-URI Dateien im privaten Speicher der App lesen und schreiben. Der CVE-Eintrag stuft dies mit CVSS 8.1 als hoch ein, während das Herstellerdokument einen Lese- und Schreibzugriff ohne Codeausführung oder Rechteausweitung beschreibt.

Ghost Squared · Ghost Commander

Voki Bot: Unsichere Exportierung von ShortcutDispatchActivity erlaubt unbefugtes Wiederholen von Automationen

Voki Bot für Android (net.canvoki.vokibot) exportiert die Komponente ShortcutDispatchActivity ohne Berechtigungsprüfung. Eine schädliche App auf demselben Gerät kann sie mit einer bekannten Trigger-ID starten und so die konfigurierten Automationen des Benutzers ausführen lassen, beispielsweise das Öffnen der Systemeinstellungen. Der Angreifer benötigt weder Berechtigungen noch Benutzerinteraktion, doch Trigger und Automation müssen bereits in den Anwendungsdaten des Opfers vorhanden sein.

canvoki · Voki Bot

Fossify Contacts: Fehlende Zugriffskontrolle legt private Kontakte anderen Apps offen

Ein exportierter Content Provider in Fossify Contacts v1.3.0 ist ohne jede Berechtigungsbeschränkung deklariert. Eine lokale App auf demselben Android-Gerät, die die Provider-Authority kennt, kann private Kontakte des Benutzers lesen, einschliesslich Namen und Telefonnummern, ohne Laufzeitberechtigung und ohne Benutzerinteraktion. Die Offenlegung betrifft nur Geräte, auf denen die Anzeige privater Kontakte aktiviert ist und mindestens ein privater Kontakt existiert.

Fossify · Contacts

Simple Contacts Pro: Unsachgemässe Freigabe eines Content Providers legt private Kontakte offen

Simple Contacts Pro mit versionCode 107 (laut Advisory auch 108) deklariert einen exportierten Content Provider ohne jegliche Berechtigungsanforderung. Jede auf demselben Android-Gerät installierte App kann diesen abfragen und private lokale Kontakte auslesen, darunter Namen, Telefonnummern, Geburtstage und Jahrestage, sofern die Einstellung für ausgeblendete Kontakte aktiviert ist, was standardmässig der Fall ist. Der Provider ist nur lesend, und es wird weder Codeausführung noch Rechteerweiterung beansprucht. Der NVD-Eintrag führt CVSS 9.1 mit Netzwerk als Angriffsvektor, was nicht zur lokalen Natur dieser im Advisory beschriebenen Schwachstelle passt.

Simple Mobile Tools · Simple Contacts Pro

Bander Notepad: Exportierter Content Provider legt Notizen offen

Bander Notepad (bander.notepad) in der Version Code 12 exportiert seinen Notizen-Content-Provider ohne Berechtigungsanforderung. Jede andere App auf demselben Android-Gerät kann ohne jegliche Berechtigungen bestehende Notizen lesen und neue Notizen in die Notiz-Datenbank des Opfers einfügen. Die betroffene App muss mindestens einmal gestartet worden sein, damit ihre Datenbank existiert. Der CVE-Eintrag ist auf Deferred gesetzt und das Upstream-Projekt scheint aufgegeben worden zu sein, daher ist keine Korrektur bekannt.

Bander · Bander Notepad

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

U-speed WIFI4 N300 Router: Fehlende Authentifizierung an UART-Debug-Konsole

Der U-speed WIFI4 N300 Router (Modell T1 Pro) v1.0.0 stellt eine UART-Debug-Schnittstelle ohne Authentifizierung, Autorisierung oder Zugriffskontrolle bereit. Ein Angreifer mit physischem Zugriff, der Drähte an die UART-Pads anlötet und mit der Konsole verbindet, erhält eine Root-Shell auf dem Gerät ohne Anmeldung. Ein Angriff über das Netzwerk ist nicht bekannt, eine Root-Shell würde jedoch das interne Netzwerk und gespeicherte WLAN-Zugangsdaten offenlegen.

U-speed · WIFI4 N300 Router (T1 Pro)

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Crocoblock JetEngine: SQL-Injection im WordPress-Plugin

Das WordPress-Plugin JetEngine von Crocoblock enthält bis und mit Version 3.9.0.1 eine SQL-Injection-Schwachstelle (CWE-89, CVE-2026-39736). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen, laut Patchstack die Rolle Contributor, kann präparierte Eingaben senden, um Datenbankinhalte zu lesen, zu ändern oder zu löschen, inklusive Benutzerdaten. Der CVSS-Wert beträgt laut CNA 8.5, die NVD-Analyse ist jedoch noch ausstehend und die Quellen weichen beim Wert voneinander ab.

Crocoblock · JetEngine

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.