ShoppingList: Exportierte Android-Aktivität erlaubt unautorisierten Listenimport
Zusammenfassung
Version 11.0 (versionCode 11) der Android-App ShoppingList exportiert eine Importaktivität ohne Berechtigungsschutz. Jede auf demselben Gerät installierte App kann eine manipulierte Einkaufsliste an diese Aktivität senden, die ohne Bestätigung in die lokale Datenbank geschrieben und dem Benutzer angezeigt wird. Der Angreifer kann bestehende Listen weder lesen noch Code ausführen, und der Angriff setzt eine lokal installierte App voraus.
Betroffen
- Android-App ShoppingList Version 11.0 (versionCode 11)
- Version 10.0 (versionCode 10): Unbekannt.
Behoben in
Unbekannt.
Umgehung
- Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
- Deinstallieren Sie die App auf Geschäftsgeräten oder verwenden Sie sie nicht mehr für geschäftsrelevante Listen, bis eine korrigierte Version bestätigt ist.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Laut einer Sekundärquelle nicht im CISA-KEV-Katalog.
- Das referenzierte Advisory beschreibt einen vom Melder verifizierten Proof of Concept auf einem Android-Emulator. Es ist kein öffentlicher Exploit indexiert.
- CISA SSVC: Ausnutzung poc, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob die App auf Firmen- oder verwalteten Geräten installiert ist, und entfernen Sie sie, falls dort geschäftliche Listen gespeichert werden.
- Verfolgen Sie das referenzierte Advisory und den F-Droid-Eintrag auf eine korrigierte Version.
- Verlassen Sie sich auf importierte Listen erst wieder, wenn eine korrigierte Version installiert ist.
- Gesamtpriorität für typische KMU: gering, sofern die App nicht auf Geschäftsgeräten eingesetzt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- F-Droid: ShoppingList package f-droid.org
- FFG0d advisory CVE-2026-107028 github.com
- ShoppingList source repository github.com
- VulDB entry 428607 vuldb.com
- OffSeq threat radar entry radar.offseq.com
- Android: Risks of exported components developer.android.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:13.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.