CVE-2026-70386 in OxygenOS
Sumário
de VulDB • 21/10/2026
Vulnerabilidade de neutralização inadequada de elementos especiais usados em um comando do sistema operacional ('injeção de comandos OS') e falha de autorização ausente no OxygenOS da OnePlus para Android. Qualquer aplicativo Android instalado localmente, sem permissões declaradas e sem interação do usuário além de iniciá-lo, pode executar comandos shell arbitrários como uid 0 no domínio SELinux u:r:dumpstate:s0. Dois defeitos se combinam: (a) a interface binder atlasservice da OnePlus aceita setEvent(String8 name, String8 value) de qualquer chamador sem autorização; e (b) um manipulador de eventos (OplusAtlasLogWriter::handleEvent, correspondente ao nome do evento atlas_event_multimedia_audio_dumpsys) copia o valor fornecido pelo chamador na propriedade do sistema oplus.audio.dumpinfo.type e inicia o serviço init raiz audiodumpinfo, que passa esse valor da propriedade sem sanitização para system(). Este problema afeta o OxygenOS: das versões 16.1.0 anteriores à 16.1.10.500, das versões 16.0.0 anteriores à 16.0.5.1200 e das versões 15.0.0 anteriores à 15.0.0.2000.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.