Unwesentlich später wurde ich bestätigt. Also nicht Sicherheitslücke der App, sondern für Android und sogar für die Trennung der Profile. Übrigens funktionierte das hier nicht nur mit localhost, sondern auch mit der IP des Gerätes, die benutzt wird, um Verbindungen nach außen aufzubauen, auch wenn das wohl intern geklärt wird.
(ach wünschte ich mir Zugriff auf iptables bzw. nftables …, mit shell-Rechten kann man die nichtmal auslesen)
Hatte immer nur Bilder versucht, von Apps ist es mir bekannt, daß Android abbricht, wenn man sie per Bluetooth zu übertragen versucht, da pack ich sie auch in ein zip oder benenne sie um.
Habe einige Apps und verschiedene Richtungen ausprobiert, nachdem ich inzwischen mal die
-Galerie-App installierte, irgendwo hatte ich ohne gesetzte Restriktionen für User aber dennoch in einer Richtung keine Chance.
Nur das Sicherheitsproblem ermöglichte es in allen 6 Richtungen, egal, in welchem Profil die WebDAV-App lief.