CVE-2025-48620

🟡 Monitoruj

Błąd logiczny w VoiceInteractionManagerService umożliwia trwałe zachowanie komponentu aplikacji po odinstalowaniu, co prowadzi do eskalacji uprawnień.

CVSS

7.8

EPSS

0.1%

Exploit

none

Vendor

google

Opis źródłowy (NVD)

In onSomePackagesChanged of VoiceInteractionManagerService.java, there is a possible way for a third party application's component name to persist even after uninstalling due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

brak Brak patcha

Źródła i daty

Źródło	Wartość
NVD – CVSS	7.8
CISA KEV (aktywnie wykorzystywane)	Nie
FIRST EPSS (prawdopodobieństwo exploita)	0.1%
Opublikowano (NVD)	2025-12-08 17:16:18 UTC
Ostatnia modyfikacja (NVD)	2026-09-30 16:10:00 UTC

Referencje

https://android.googlesource.com/platform/frameworks/base/+/84dd2b90f4a2ea1ebc5b78f08f14c5a3b92c9c2d ([email protected]) [Patch, Product]
https://android.googlesource.com/platform/frameworks/base/+/db86972777c84a386d8a6d2d34879923bdbccdf6 ([email protected]) [Patch, Product]
https://source.android.com/security/bulletin/2025-12-01 ([email protected]) [Vendor Advisory]