CVE-2018-14986 in Z5C
摘要
由 VulDB • 2026-08-07
Leagoo Z5C Android 设备，其构建指纹为 sp7731c_1h10_32v4_bird:6.0/MRA58K/android.20170629.214736:user/release-keys，预装了一个包名为 com.android.messaging（versionCode=1000110, versionName=1.0.001, (android.20170630.092853-0)）的应用程序。该应用程序包含一个导出的内容提供者，名称为 com.android.messaging.datamodel.MessagingContentProvider。设备上任何共存的应用程序均可读取每个对话中的最新短信。也就是说，对于用户发送或接收过短信的每一个电话号码，零权限的第三方应用可以获取短信正文、电话号码、联系人姓名（如果存在）以及该对话中最近一条短信的时间戳。由于对易受攻击的内容提供者应用程序组件的查询可以在后台静默执行，恶意应用可以持续监控内容提供者的状态，以检测每个对话中的当前消息是否发生变化，从而获取新的短信。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.