BulkShare Android-App: Unsachgemässer Export einer Activity erlaubt Injektion in Link-Warteschlange

Zusammenfassung

BulkShare 2.1.0 für Android exportiert die Komponente ShareActivity ohne Berechtigungsschutz, sodass jede auf demselben Gerät installierte App sie ohne Benutzerinteraktion aufrufen und beliebigen Text in die Link-Warteschlange der App einfügen kann. Die eingefügten Links können später vom Benutzer über die App weitergegeben werden, was einen manipulierten Datenfluss ermöglicht. Der NVD-Status ist Deferred und der CVSS-Wert ist nicht bestätigt; Produktname und Versionszuordnung im CVE widersprechen den Angaben des Herstellers und sind nicht verifiziert.

Betroffen

• BulkShare (me.alexghr.bulkshare.android.app2) Version 2.1.0 gemäss CVE-Eintrag (versionCode 5)
• Die F-Droid-Auflistung zeigt Version 2.1.0 (versionCode 3); die Zuordnung ist nicht verifiziert
• Das CVE nennt das Produkt 'Bulk Share: Location Sender', was nicht der Beschreibung der upstream App als URL-Sharing-App entspricht

Behoben in

Unbekannt. Es ist keine korrigierte Version bekannt; das Upstream-Projekt meldete per 2026-09-27 keinen Fix.

Umgehung

• App auf verwalteten Geräten deinstallieren
• App per MDM sperren, falls eine Deinstallation nicht möglich ist

Ausnutzung

• Die CISA-SSVC-Bewertung führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'yes'; das verlinkte Advisory enthält einen Proof of Concept des Meldenden
• Keine bekannte Ausnutzung in freier Wildbahn; nicht in KEV gelistet

Unsere Empfehlung

• Firmen- und BYOD-Geräte auf die BulkShare-App prüfen, insbesondere Geräte mit installiertem F-Droid
• App entfernen, wo sie nicht im geschäftlichen Einsatz ist
• App im Software-Inventar erfassen und auf Updates des Upstream-Projekts achten
• Produkt und Version anhand des GitHub-Advisory verifizieren, bevor der CVE-Umfang als gesichert gilt

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• F-Droid package page f-droid.org
• GitHub advisory CVE-2026-107032 (FFG0d) github.com
• BulkShare developer repository github.com
• Strix CVE-2026-107032 www.strix.ai
• Sonar rules: CWE overview rules.sonarsource.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:13.