CVE-2025-46018 – تجاوز مصادقة الدفع في تطبيق CSC Pay للهاتف المحمول

الملخص

تم اكتشاف ثغرة في تجاوز مصادقة الدفع في تطبيق CSC Pay للهاتف المحمول، وتؤثر على الإصدار 2.19.4. سمح هذا الخلل للمهاجم ببدء عملية دفع، ثم تعطيل البلوتوث عند نقطة محددة في العملية، وتشغيل آلة غسيل دون أن يتم تحصيل أي رسوم.

تم الإفصاح عن هذه المشكلة بطريقة مسؤولة، وهي الآن مسجلة تحت CVE-2025-46018.

المنتج المتأثر

المنتج: CSC Pay Mobile App
الإصدار: 2.19.4 (تم الإصلاح في الإصدار 2.20.0)
المكوّن: وحدة مصادقة الدفع عبر البلوتوث
البائع: CSC ServiceWorks

نوع الثغرة

CWE-284: تحكم غير سليم في الوصول
CVSS (تقديري): شدة متوسطة
نوع الاستغلال: محلي – يتطلب القرب من الآلة

ناقل الهجوم (مستوى عالٍ)

يبدأ المهاجم عملية دفع عبر التطبيق المحمول ويقوم بمسح رمز الاستجابة السريعة (QR) على آلة الغسيل.
قبل أن يكمل التطبيق مصادقة البلوتوث ويحصّل المبلغ من المستخدم، يتم تعطيل البلوتوث عمدًا.
تبدأ الآلة دورة التشغيل على الرغم من عدم اكتمال أي معاملة.

الأثر: استخدام غير مصرح به للآلات دون دفع، وخسارة محتملة للإيرادات، وإساءة الاستخدام في البيئات العامة/المشتركة.

الجدول الزمني

التاريخ	الحدث
April 13, 2025	تم اكتشاف الثغرة
April 16, 2025	تم الإبلاغ إلى CSC ServiceWorks

شكر وتقدير

المكتشف: Niranjan Gaire

إخلاء مسؤولية

هذا المستودع مخصص لأغراض التوثيق والإفصاح المسؤول فقط.
لن تتم مشاركة أي كود استغلال أو خطوات إعادة إنتاج علنًا.

CVE-2025-46018-CSC-Pay-Mobile-App-Payment-Authentication-Bypass

الأكثر شعبية