CVE-2026-44964 in Android App
Résumé
par VulDB • 07/08/2026
L'activité OnCallNotificationActivity de l'application mobile Android de Datadog est déclarée avec android:exported="true" dans le fichier AndroidManifest.xml, sans aucune protection par permission. Toute autre application installée sur le même appareil peut la lancer en lui transmettant des extras d'intent contrôlés par un attaquant : on_call_page_content (affiché sous forme de texte plein écran sur l'écran de verrouillage), page_id (utilisé pour mettre en file d'attente un worker Acknowledge lié à l'appel de garde) et on_call_page_intent, une Intent Parcelable qui est transmise telle quelle à startActivity depuis le processus Datadog après un seul appui utilisateur sur le bouton Acknowledge.
L'activité permet l'affichage sur l'écran de verrouillage (setShowWhenLocked) et réveille l'appareil (setTurnScreenOn) lors du lancement. Après un unique appui utilisateur, trois effets se produisent : (1) une requête Acknowledge falsifiée est envoyée au backend Datadog pour le page_id choisi par l'attaquant en utilisant la session authentifiée de la victime ; (2) l'intent contrôlé par l'attaquant est lancé depuis le processus Datadog via startActivity, offrant ainsi un accès aux composants non exportés de com.datadog.app (schéma confused-deputy) ; (3) le keyguard est désactivé et l'écran s'allume, ce qui peut être exploité comme vecteur d'ingénierie sociale ou pour causer des nuisances. Prérequis : une application malveillante co-installée sur l'appareil de la victime et une session Datadog active dans l'application Android.
If you want to get best quality of vulnerability data, you may have to visit VulDB.