CVE-2026-11319
Təsvir
TickTick Android tətbiqi (com.ticktick.task) 8.2.2.0 versiyasında ixrac edilmiş ShareReceiveActivity komponentində yol keçidi (path traversal) zəifliyi mövcuddur. Bu zəiflik, bədniyyətli lokal tətbiqin ACTION_SEND intentləri vasitəsilə keçid fayl adı olan xüsusi hazırlanmış content:// URI təqdim etməklə, nəzərdə tutulmuş qoşma kataloqundan kənara fayllar yazmasına şərait yaradır. Bədniyyətli tətbiq, tərkibində keçid ardıcıllıqları olan _display_name dəyəri qaytaran bir ContentProvider qeydiyyatdan keçirə bilər; bu dəyər FileManager.getDisplayNameFromUri və AttachmentFileHelper.copyFileDirectly funksiyaları vasitəsilə təmizlənmədən ötürülür və TickTick tətbiqinin imtiyazları ilə hücumçunun seçdiyi yerlərə avtomatik fayl yazılmasına səbəb olur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| TickTick Limited TickTick for Android | 8.2.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.