Atividade BubbleChat no aplicativo Datadog Android é declarada android:exported="true" sem proteção de permissão e aceita uma intenção de ENVIAR com texto/plain do tipo mime. A atividade lê um conversation_id a partir de extras de Intent e, no 'Destroy', chama BubbleChatNotification.dispense sempre que nenhuma sessão ativa em processo coincida com o conversation_id fornecido pelo chamador. BubbleChatNotification.dispense incondicionalmente cancela ID de notificação 9201 — a notificação de chat de bits IA codificados com hard — usando NotificationManager.cancel, sem validação da identidade do chamador ou propriedade do chat_id fornecido. Um aplicativo com permissão zero pode, portanto, iniciar a Atividade BubbleChat com qualquer conversa aleatória_id; quando a atividade está terminada, a notificação de chat AI de bits é cancelada no dispositivo vítima. Nenhuma exposição de dados: o conteúdo do chat é de autentificação por servidor e nunca é devolvido ao chamador. A remoção do atalho é abrangida pelo ID de conversa fornecido pelo atacante, que é uma cadeia aleatória e não é alcançable sem conhecimento prévio. O impacto é limitado à negação da notificação de chat de bits IA (um incômodo e um potencial auxílio para o phishing de fluxos de trabalho na aplicação). Registro de aconselhamento: GHSA- 3 fqc- mc 38 - j 2 cm. Identificadores relacionados: CVE- 2026 - 47361.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 07 T 18: 31: 46.000 Z e lista a sua última modificação como 2026 - 08 - 08 T 03: 31: 12.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões.
Classificação e evidência: identificadores de fraqueza CWE- 926. O registro contém 3 suporte de referências nestes tipos: AVISO, WEB.