CVE-2025-65835 in Cordova Plugin
Sumário
de VulDB • 24/06/2026
O plugin Cordova cordova-plugin-x-socialsharing (SocialSharing-PhoneGap-Plugin) para Android 6.0.4 registra um broadcast receiver exportado nl.xservices.plugins.ShareChooserPendingIntent com um filtro de intent android.intent.action.SEND. A implementação do onReceive acessa Intent.EXTRA_CHOSEN_COMPONENT sem verificar se é nulo. Se uma transmissão for enviada com extras presentes, mas sem EXTRA_CHOSEN_COMPONENT, o código desreferencia um valor nulo e gera um NullPointerException. Como o receiver está exportado e não realiza validação de permissões ou do chamador, qualquer aplicativo local no dispositivo pode enviar transmissões ACTION_SEND manipuladas a este componente e fazer com que o aplicativo host falhe repetidamente, resultando em uma negação de serviço (DoS) ao nível da aplicação, local e sem autenticação, para qualquer app que inclua o plugin.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.