CVE-2026-44965

Datadog Android uygulamasının v545-5.9.2 öncesi sürümlerinde, altı App Widget yapılandırma activity'si (IncidentWidgetActivity, MonitorSavedViewWidgetActivity, OnCallShiftsWidgetActivity, OnCallPagesWidgetActivity, SloWidgetActivity, DashboardWidgetActivity) herhangi bir izin koruması olmadan dışa aktarılmıştır. Her biri, çağıran tarafından sağlanan bir AppWidgetManager.EXTRA_APPWIDGET_ID değerini kabul eder ve herhangi bir deep-link hedefi çözümlenmediğinde, eşleşen widget'ın saklanan oturumunu yüklemek ve otomatik olarak o kullanıcı olarak oturum açmak için bu değeri kullanır. Android widget kimlikleri küçük sıralı tam sayılar olduğundan, birlikte kurulmuş bir uygulama, kurbanın cihazında yapılandırılmış bir widget ile eşleşen bir değer bulmak için bu değeri kaba kuvvetle deneyebilir. Bu şunları gerektirir: Kurbanın cihazında birlikte kurulmuş kötü amaçlı bir uygulama. Kurbanın ana ekranında yapılandırılmış altı widget'tan en az biri. Yerel olarak önbelleğe alınmış etkin bir Datadog oturumu. Etki: Eşleşen yapılandırma activity'si, kurbanın oturumu altında ön planda açılır ve canlı altyapı verilerini işler. Maruz kalma, görsel bir yan kanalla (ör. ekran kaydı veya erişilebilirlik hizmetleri) sınırlıdır; çağıran uygulama, işlenen verileri programatik olarak okuyamaz.