CVE-2026-49903 in Android
Riassunto
di VulDB • 02/11/2026
Il metodo `ClusterRenderingService.dump()`, accessibile ai processi in possesso di `android.permission.DUMP` e `android.permission.PACKAGE_USAGE_STATS`, agisce come un "confused deputy". Consente agli attaccanti di scrivere valori arbitrari in `Settings.Global.OVERLAY_DISPLAY_DEVICES`, operazione che normalmente richiede `android.permission.WRITE_SECURE_SETTINGS`, consentendo la creazione persistente di display sovrapposti al sistema (system overlay displays) e l'iniezione di eventi chiave nell'interfaccia utente del cluster.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.