CVE-2026-44965

Datadog Android tətbiqinin v545-5.9.2 versiyasından əvvəlki versiyalarında altı App Widget konfiqurasiya fəaliyyəti (IncidentWidgetActivity, MonitorSavedViewWidgetActivity, OnCallShiftsWidgetActivity, OnCallPagesWidgetActivity, SloWidgetActivity, DashboardWidgetActivity) heç bir icazə qoruyucusu olmadan ixrac edilib. Onların hər biri çağıran tərəfindən təqdim edilən AppWidgetManager.EXTRA_APPWIDGET_ID qəbul edir və heç bir deep-link təyinatı həll olunmadıqda, ondan uyğun vidcetin saxlanılmış sessiyasını yükləmək və avtomatik olaraq həmin istifadəçi kimi daxil olmaq üçün istifadə edir. Android vidcet ID-ləri kiçik ardıcıl tam ədədlər olduğundan, birgə quraşdırılmış tətbiq bu dəyəri brute-force edərək qurbanın cihazında konfiqurasiya edilmiş vidcetə uyğun gələn birini tapa bilər. Bu, aşağıdakıları tələb edir: Qurbanın cihazında birgə quraşdırılmış zərərli tətbiq. Qurbanın əsas ekranında altı vidcetdən ən azı birinin konfiqurasiya edilməsi. Lokal olaraq keşlənmiş aktiv Datadog sessiyası. Təsir: Uyğun konfiqurasiya fəaliyyəti qurbanın sessiyası altında ön planda açılır və canlı infrastruktur məlumatlarını göstərir. Məruz qalma vizual yan kanalla (məs., ekran yazısı və ya əlçatanlıq xidmətləri) məhdudlaşır; çağıran tətbiq göstərilən məlumatları proqram yolu ilə oxuya bilməz.