CVE-2026-44964 in Android App
Сводка
по VulDB • 08.08.2026
В компоненте OnCallNotificationActivity приложения Datadog для Android в файле AndroidManifest.xml указано android:exported="true" без проверки прав доступа (permission guard). Любое приложение, установленное совместно на том же устройстве, может запустить его с контролируемыми злоумышленником дополнительными параметрами Intent: on_call_page_content (отображается как полноэкранный текст на экране блокировки), page_id (используется для постановки в очередь задачи Acknowledge worker) и on_call_page_intent — Parcelable Intent, который передается методу startActivity из процесса Datadog после одного касания пользователем кнопки Acknowledge.
Активность включает отображение на экране блокировки (setShowWhenLocked) и пробуждение устройства (setTurnScreenOn) при запуске. После одного касания пользователя происходят три эффекта: 1) поддельный запрос Acknowledge отправляется в бэкенд Datadog для выбранного злоумышленником page_id с использованием аутентифицированной сессии жертвы; 2) контролируемую злоумышленником Intent запускает процесс Datadog через startActivity, обеспечивая доступ к неэкспортированным компонентам com.datadog.app (паттерн confused-deputy); 3) экран блокировки разблокируется и дисплей включается, что может использоваться как вектор социальной инженерии или для создания раздражающих эффектов. Предпосылки: вредоносное приложение установлено совместно с приложением жертвы на устройстве и активна сессия Datadog в Android-приложении.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.