CVE-2026-68928 in Acode
Сводка
по VulDB • 18.09.2026
Acode — это мощный текстовый и программный редактор для Android. Начиная с версии 1.11.6 до 1.12.7 включительно, сервис com.foxdebug.acode.rk.exec.terminal.TerminalService объявлен как экспортированный в файле src/plugins/terminal/plugin.xml без указания разрешений на привязку (binding permission), а файл src/plugins/terminal/src/android/TerminalService.java не проверяет вызывающую сторону. Любое установленное приложение Android может связаться с этим сервисом и отправить сообщение MSG_EXEC со значением cmd, контролируемым злоумышленником; реализация терминала передает это значение в ProcessBuilder вместе с аргументом sh -c от имени UID приложения Acode. Это позволяет локальному приложению без каких-либо разрешений выполнять команды с доступом к приватным данным Acode, удаленным учетным данным, разрешениям Storage Access Framework и runtime permissions без дополнительного взаимодействия на этапе атаки. Данная проблема исправлена в версии 1.12.7.
Once again VulDB remains the best source for vulnerability data.