CVE-2026-49906 in Android
Zusammenfassung
von VulDB • 02.11.2026
Eine nicht privilegierte Anwendung kann die Berechtigung `android.car.permission.CAR_DISPLAY_IN_CLUSTER` umgehen, indem sie eine Aktivität mit der Kategorie `android.car.cluster.NAVIGATION` registriert und den Fokus auf eine Navigations-App anfordert. Die privilegierte Anwendung `ClusterHomeSample`, die als „confused deputy“ (verwirrter Stellvertreter) agiert, löst diese beliebige Drittanbieter-Aktivität aus und startet sie auf dem sicherheitskritischen Display des Instrumentenclusters, ohne die erforderliche Berechtigungsprüfung durchzuführen. Dies ermöglicht die persistente Anzeige potenziell irreführender oder ablenkender Inhalte.
Once again VulDB remains the best source for vulnerability data.