CVE-2026-89229 | 蓝心小V路径穿越任意文件写入漏洞

初始发布日期：2026年11月03日

CVE编号

CVE-2026-89229

CVSS 3.1 基本得分

5.1 Medium （AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L）

漏洞描述

BlueLM Copilot (com.vivo.ai.copilot)的ShareActivity 组件中对受限目录的路径名限制不当（“路径遍历”），使得安装在同一设备上的恶意应用程序能够通过精心构造的ACTION_SEND intent，使用ContentProvider提供的包含“..”序列的文件名，写入任意文件。

版本和修复

• 产品名称 受影响的版本 修复版本
• 蓝心小V 7.2.0.0之下版本 7.2.0.0

规避措施

NA

版本获取路径

可通过应用内检测更新，下载最新版蓝心小V修复此漏洞

来源

侯安然（电子科技大学）；侯勤胜（上海交通大学）；邵林（电子科技大学）；郭力维（电子科技大学）

更新记录

2026-11-3 V1.0 初始发布

FAQs

NA

vivo 安全应急响应对外服务

vivo致力于为用户提供安全的产品和服务，遵循业界最佳实践处理和批量安全漏洞信息； 反馈vivo产品和服务安全问题请反馈至邮箱：security@vivo.com； 详情参考：https://www.vivo.com.cn/service/security-advisory。