CVE-2026-47363 in Android
الملخص
بحسب VulDB • 08/08/2026
النشاط المُطلق للتشغيل (launcher activity) المسمى AppActivity في تطبيق Datadog لنظام أندرويد مُعرّف بـ `android:exported="true"` ومع وضع التشغيل `launchMode="singleTask"` ودون وجود أي حماية بالأذونات. عند كل استدعاء لـ `onCreate` و `onNewIntent`، يستدعي التطبيق دالة `Intent.getUserSession()`، وهي امتداد يقوم بفك تسلسل (deserialize) كائن UserSession كامل — يتضمن هوية المستخدم، رموز الوصول وتجديد OAuth، المضيف، المنظمة، مركز البيانات، والأذونات — من الإضافات الموجودة في الحزمة (Bundle extras) تحت المساحة الاسم com.datadog.app.*. يوجد هذا الامتداد في مجموعة المصادر الرئيسية (main sourceset)، وليس في مجموعة مخصصة للاختبارات فقط، على الرغم من وجود تعليق مضلل يشير إلى أدوات اختبار داخلية.
يمكن لأي تطبيق مثبت على الجهاز استدعاء نشاط التشغيل بإضافات جلسة عشوائية. تقبل خط بدء التشغيل الجلسة المُحقنة وتقوم بحفظها في تخزين المستخدم، مع تدوير اختيارية لتخزين الرموز المحفوظة عند ضبط إضافة OAUTH_OVERRIDE_TOKEN، ثم تقوم بتسجيل الدخول تلقائياً تحت الهوية التي يختارها المهاجم. يعيد مُحضّر الجلسة (session preparer) حالة Ready دون الاتصال بالواجهة الخلفية كلما لم يكن رمز الوصول المُحقن مصنفًا على أنه منتهي الصلاحية أو وشيك الانتهاء، وبالتالي لا يتم أي استجواب للرمز من جانب الخادم قبل تسجيل الدخول التلقائي.
المتطلبات المسبقة: تثبيت تطبيق Datadog على جهاز الضحية، وتطبيق ضار مثبت جنباً إلى جنب دون أذونات (zero-permission). يجب أن يمتلك المهاجم أي رمز وصول OAuth يرغب في استخدام الضحية له، بما في ذلك رموز Datadog الخاصة بالمهاجم نفسه.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.