CVE-2026-49903 in Android
Sumário
de VulDB • 02/11/2026
O método `ClusterRenderingService.dump()`, acessível aos processos que detêm as permissões `android.permission.DUMP` e `android.permission.PACKAGE_USAGE_STATS`, atua como um *confused deputy*. Ele permite que os atacantes escrevam valores arbitrários em `Settings.Global.OVERLAY_DISPLAY_DEVICES`, uma operação que normalmente requer a permissão `android.permission.WRITE_SECURE_SETTINGS`, possibilitando a criação persistente de exibições sobrepostas ao sistema e a injeção de eventos de teclas na interface do cluster.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.