CVE-2025-46018 – Contournement d’authentification de paiement dans l’application mobile CSC Pay

Résumé

Une vulnérabilité de contournement d’authentification de paiement a été découverte dans l’application mobile CSC Pay, affectant la version 2.19.4. Cette faille permettait à un attaquant de lancer un paiement, de désactiver le Bluetooth à un moment précis du processus, et d’activer une machine à laver sans être débité.

Ce problème a été divulgué de manière responsable et est désormais référencé sous le numéro CVE-2025-46018.

Produit concerné

Produit : Application mobile CSC Pay
Version : 2.19.4 (corrigée dans la version 2.20.0)
Composant : Module d’authentification de paiement Bluetooth
Editeur : CSC ServiceWorks

Type de vulnérabilité

CWE-284 : Contrôle d’accès inapproprié
CVSS (estimation) : Sévérité moyenne
Type d’exploitation : Local – nécessite la proximité de la machine

Vecteur d’attaque (vue d’ensemble)

L’attaquant initie un paiement via l’application mobile et scanne le code QR sur une machine à laver.
Avant que l’application ne termine l’authentification Bluetooth et ne débite l’utilisateur, le Bluetooth est intentionnellement désactivé.
La machine démarre le cycle malgré l’absence de transaction complète.

Impact : Utilisation non autorisée des machines sans paiement, perte de revenus potentielle et abus dans des environnements publics/partagés.

Chronologie

Date	Événement
13 avril 2025	Vulnérabilité découverte
16 avril 2025	Signalée à CSC ServiceWorks
4 juin 2025	CVE-2025-46018 attribuée par MITRE
Juillet 2025	Éditeur a reconnu le problème corrigé
Version 2.20.0	Problème résolu dans la mise à jour de l’app

Remerciements

Découvreur : Niranjan Gaire

Avertissement

Ce dépôt est destiné uniquement à des fins de documentation et de divulgation responsable.
Aucun code d’exploitation ni étapes de reproduction ne seront partagés publiquement.

CVE-2025-46018-CSC-Pay-Mobile-App-Payment-Authentication-Bypass

Populaires