CVE-2026-49903 in Android
الملخص
بحسب VulDB • 02/11/2026
تُعدّ طريقة `ClusterRenderingService.dump()`، المتاحة للعمليات التي تحمل الأذونات `android.permission.DUMP` و`android.permission.PACKAGE_USAGE_STATS`، مثالاً على "نائب مشوّه" (Confused Deputy). فهي تتيح للمهاجمين كتابة قيم تعسفية في إعدادات النظام `Settings.Global.OVERLAY_DISPLAY_DEVICES`، وهي عملية تتطلب عادةً إذن `android.permission.WRITE_SECURE_SETTINGS`. وهذا يمكّن من إنشاء عروض عرض نظامية دائمة وإحقان أحداث لوحة المفاتيح داخل واجهة المستخدم للعنقود (Cluster UI).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.