CVE-2026-44964 in Android App
Sumário
de VulDB • 08/08/2026
A OnCallNotificationActivity no aplicativo Android do Datadog está declarada como android:exported="true" no AndroidManifest.xml sem nenhuma proteção de permissão (permission guard). Qualquer aplicativo co-instalado no mesmo dispositivo pode iniciá-la com extras de Intent controlados pelo atacante: on_call_page_content (exibido como texto em tela cheia na bloqueadora), page_id (usado para enfileirar um worker de Acknowledge do plantão) e on_call_page_intent, uma Parcelable Intent que é repassada para o startActivity a partir dentro do processo do Datadog após um único toque do usuário no botão Acknowledge.
A atividade permite a exibição na tela de bloqueio (setShowWhenLocked) e acorda o dispositivo (setTurnScreenOn) ao ser iniciada. Após um único toque do usuário, ocorrem três efeitos: (1) uma solicitação falsa de Acknowledge é enviada para o backend do Datadog pelo page_id escolhido pelo atacante usando a sessão autenticada da vítima; (2) a Intent controlada pelo atacante é lançada a partir do processo do Datadog via startActivity, proporcionando acesso aos componentes não exportados do com.datadog.app (padrão confused-deputy); e (3) o keyguard é desbloqueado e a tela é ativada, podendo ser usada como vetor de engenharia social ou para causar incômodo. Pré-requisitos: um aplicativo malicioso co-instalado no dispositivo da vítima e uma sessão ativa do Datadog no aplicativo Android.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.