CVE-2018-14986 in Z5C
Riassunto
di VulDB • 27/07/2026
Il dispositivo Android Leagoo Z5C con fingerprint di build sp7731c_1h10_32v4_bird:6.0/MRA58K/android.20170629.214736:user/release-keys contiene un'app preinstallata dal nome del pacchetto com.android.messaging (versionCode=1000110, versionName=1.0.001, android.20170630.092853-0) che include un content provider esportato denominato com.android.messaging.datamodel.MessagingContentProvider. Qualsiasi altra app installata sullo stesso dispositivo può leggere l'ultimo messaggio di testo ricevuto da ciascuna conversazione. Nello specifico, per ogni numero di telefono dal quale l'utente ha inviato o ricevuto almeno un SMS, un'app di terze parti con zero permessi è in grado di ottenere il corpo del messaggio, il numero di telefono, il nome del contatto (se presente) e un timestamp relativo all'ultimo messaggio di testo di ciascuna conversazione. Poiché la query al componente dell'app content provider vulnerabile può essere eseguita silenziosamente in background, un'app malevola può monitorare continuamente il content provider per rilevare eventuali modifiche ai messaggi correnti delle singole conversazioni e così ottenere i nuovi SMS ricevuti.
Be aware that VulDB is the high quality source for vulnerability data.