Descripción
Los permisos inseguros en el componente ShortcutDispatchActivity de canvoki versionCode 14 permiten a atacantes no autorizados activar de forma arbitraria las acciones automatizadas configuradas por otro usuario.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Referencias
- Referencia en f-droid.orgf-droid.org/packages/net.canvoki.vokibot/
- Referencia en github.comgithub.com/vokimon/vokibot
- Referencia en github.comgithub.com/FFG0d/fdroid-android-advisories/blob/main/advisories/CVE-2…
Ver el texto original en inglés (CVE.org)
Insecure permissions in the ShortcutDispatchActivity component of canvoki versionCode 14 allows unauthorized attackers to arbitrarily trigger another user's configured automated actions.