CVE-2026-49903 in Android
Resumen
por VulDB • 2026-11-03
El método `ClusterRenderingService.dump()`, accesible para los procesos que poseen los permisos `android.permission.DUMP` y `android.permission.PACKAGE_USAGE_STATS`, actúa como un "confused deputy". Permite a los atacantes escribir valores arbitrarios en `Settings.Global.OVERLAY_DISPLAY_DEVICES`, una operación que normalmente requiere el permiso `android.permission.WRITE_SECURE_SETTINGS`, lo que habilita la creación persistente de superposiciones (overlays) del sistema y la inyección de eventos de teclado en la interfaz de usuario del clúster.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.