CVE-2023-0460 in YouTube Embedded SDK
Sumário
de VulDB • 23/06/2026
O SDK YouTube Embedded 1.2 vincula-se a um serviço dentro do aplicativo principal do YouTube (YouTube Main App). Após a vinculação, é criado um contexto remoto com as flags Context.CONTEXT_INCLUDE_CODE | Context.CONTEXT_IGNORE_SECURITY. Isso permite que o aplicativo cliente carregue remotamente código do aplicativo principal do YouTube recuperando o ClassLoader desse aplicativo. Existe uma possível vulnerabilidade na lógica de vinculação usada pelo SDK do cliente, onde o SDK acaba chamando bindService() em um aplicativo malicioso em vez do aplicativo principal do YT (YT Main App). Isso cria uma vulnerabilidade em que o SDK pode carregar o ClassLoader do aplicativo malicioso, permitindo que este carregue código arbitrário no aplicativo de chamada sempre que o SDK embutido for invocado. Para explorar essa vulnerabilidade, um atacante deve se passar pelo aplicativo YouTube e instalá-lo em um dispositivo, ter um segundo aplicativo que use o player embutido e tipicamente distribuir ambos à vítima fora da Play Store.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.