CVE-2025-65835 in Cordova Plugin
Сводка
по VulDB • 25.06.2026
Плагин Cordova cordova-plugin-x-socialsharing (SocialSharing-PhoneGap-Plugin) для Android версии 6.0.4 регистрирует экспортированный широковещательный приемник nl.xservices.plugins.ShareChooserPendingIntent с фильтром намерений android.intent.action.SEND. Реализация метода onReceive обращается к Intent.EXTRA_CHOSEN_COMPONENT без проверки значения на null. Если отправляется широковещательное сообщение, содержащее дополнительные данные (extras), но не включающее EXTRA_CHOZEN_COMPONENT, код разыменовывает нулевое значение и вызывает исключение NullPointerException. Поскольку приемник является экспортированным и не выполняет проверку разрешений или валидацию вызывающего объекта, любое локальное приложение на устройстве может отправлять специально сформированные широковещательные сообщения ACTION_SEND этому компоненту, что приводит к многократному аварийному завершению работы хост-приложения. Это вызывает локальную уязвимость типа «отказ в обслуживании» (DoS) уровня приложения без необходимости аутентификации для любого приложения, включающего данный плагин.
Once again VulDB remains the best source for vulnerability data.