CVE-2025-5154
PhonePe App SQLite-Datenbanken: Klartextspeicherung in Datei
- Veröffentlicht
- 25.05.2025
- Aktualisiert
- 07.10.2026
- CNA zuweisen
- VulDB
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 8,5 %
- Modelldatum
- 23.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Eine Schwachstelle wurde in PhonePe App 25.03.21.0 unter Android identifiziert. Dies betrifft eine unbekannte Funktion der Datei /data/data/com.phonepe.app/databases/ der Komponente SQLite Database. Die Manipulation führt zur Klartextspeicherung in einer Datei oder auf dem Datenträger. Der Angriff muss lokal durchgeführt werden. Der Exploit ist öffentlich verfügbar und könnte verwendet werden. Die tatsächliche Existenz dieser Schwachstelle ist derzeit fraglich. Die Grundvoraussetzung des Angriffs wird durch das CVSS-Vektorattribut PR:H widergespiegelt. Der Hersteller erklärt: „[L]aut dem PoC benötigt diese Schwachstelle ein gerootetes Gerät zur Ausnutzung. PhonePe betrachtet Schwachstellen, die auf gerooteten Geräten gefunden werden, nicht als gültig, da es kein reales Exploit-Szenario gibt.“
Quellen
CVE-2025-5154: Proof-of-Concept für unverschlüsselte lokale Speicherung von Authentifizierungstokens, personenbezogenen Daten und KYC-Daten in der PhonePe-Android-App, die Kontoübernahme und Datenerfassung über Root-Zugriff ermöglicht.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.