PT-2026-69091
CVE-2026-47363
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات تطبيق Datadog لنظام Android الأقدم من 5.9.2
الوصف
تم تعريف نشاط المشغل
AppActivity على أنه مُصدَّر مع launchMode=”singleTask“ ويفتقر إلى آلية حماية الأذونات. يستدعي التطبيق Intent.getUserSession() أثناء onCreate وonNewIntent، مما يؤدي إلى فك تسلسل UserSession التي تحتوي على هوية المستخدم، ورموز الوصول والتحديث الخاصة بـ OAuth، والمضيف، والمؤسسة، ومركز البيانات، والأذونات من إضافات الحزمة (Bundle extras) ضمن مساحة الاسم com.datadog.app.*. يمكن لتطبيق ضار مُثبَّت بشكل مشترك استدعاء المشغل باستخدام إضافات جلسة عمل عشوائية، مما يسمح للمهاجم بحقن جلسة عمل وإجراء تسجيل دخول تلقائي باستخدام هوية يختارها المهاجم. يقوم مُعد الجلسة بإرجاع حالة «جاهز» (Ready) دون الاتصال بالخلفية إذا لم يتم وضع علامة على رمز الوصول المُحقن على أنه منتهي الصلاحية، مما يعني عدم حدوث فحص داخلي للرمز من جانب الخادم قبل تسجيل الدخول التلقائي. ويؤدي ذلك إلى مشكلة «التشويش على الحساب» حيث يتم تحويل تطبيق الضحية إلى جلسة يتحكم فيها المهاجم.التوصيات
قم بتحديث تطبيق Datadog لنظام Android إلى الإصدار 5.9.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾