CVE-2026-68928
Açıklama
Acode, Android için güçlü bir metin ve kod düzenleyicidir. 1.11.6 ile 1.12.7 sürümleri arasında, com.foxdebug.acode.rk.exec.terminal.TerminalService, src/plugins/terminal/plugin.xml içerisinde herhangi bir bağlama izni (binding permission) olmaksızın dışa aktarılan bir servis olarak tanımlanmıştır ve src/plugins/terminal/src/android/TerminalService.java çağrıyı yapan tarafı doğrulamamaktadır. Yüklü herhangi bir Android uygulaması servise bağlanabilir ve saldırgan tarafından kontrol edilen bir cmd değeriyle MSG_EXEC gönderebilir; terminal uygulaması bu değeri Acode'un UID'si altında sh -c ile birlikte ProcessBuilder'a iletir. Bu durum, hiçbir izne sahip olmayan yerel bir uygulamanın, saldırı anında ek bir etkileşime gerek kalmadan Acode özel verilerine, uzak kimlik bilgilerine, Storage Access Framework izinlerine ve çalışma zamanı izinlerine erişerek komut çalıştırmasına olanak tanır. Bu sorun 1.12.7 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Acode-Foundation Acode | >= 1.11.6, < 1.12.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.