CVE-2025-5154
تطبيق PhonePe: تخزين قواعد بيانات SQLite بنص واضح في الملف
- تم النشر
- 25/05/2025
- محدث
- 07/10/2026
- تخصيص CNA
- VulDB
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 8.5%
- تاريخ الموديل
- 23/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
تم تحديد ثغرة أمنية في تطبيق PhonePe App 25.03.21.0 على نظام Android. تؤثر هذه الثغرة على دالة غير معروفة في الملف /data/data/com.phonepe.app/databases/ الخاص بمكوّن SQLite Database. يؤدي التلاعب إلى تخزين النص الواضح في ملف أو على القرص. يجب تنفيذ الهجوم محليًا. الاستغلال متاح للعموم وقد يُستخدَم. وجود هذه الثغرة الفعلي موضع تساؤل حاليًا. تنعكس متطلبات الجذر للهجوم في سمة متجه CVSS PR:H. وتوضح الجهة المصنّعة: "[و]فقًا لإثبات المفهوم (PoC)، تتطلب هذه الثغرة جهازًا مُجذَّرًا (rooted) لاستغلالها. لا يعتبر PhonePe الثغرات الموجودة في الأجهزة المُجذَّرة صالحة لأنه لا يوجد سيناريو استغلال واقعي."
المصادر
CVE-2025-5154: إثبات المفهوم للتخزين المحلي غير المشفر لرموز المصادقة والمعلومات الشخصية القابلة للتحديد (PII) وبيانات اعرف عميلك (KYC) في تطبيق PhonePe لنظام أندرويد، مما يتيح الاستيلاء على الحساب واستخراج البيانات عبر الوصول الجذري.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.