CVE-2025-5154

सारांश

Android पर PhonePe App 25.03.21.0 में एक भेद्यता की पहचान की गई। यह SQLite Database घटक की फ़ाइल /data/data/com.phonepe.app/databases/ के एक अज्ञात फ़ंक्शन को प्रभावित करती है। इस हेरफेर के परिणामस्वरूप किसी फ़ाइल में या डिस्क पर क्लियरटेक्स्ट संग्रहण होता है। हमला स्थानीय रूप से किया जाना आवश्यक है। एक्सप्लॉइट सार्वजनिक रूप से उपलब्ध है और इसका उपयोग किया जा सकता है। इस भेद्यता का वास्तविक अस्तित्व वर्तमान में प्रश्नांकित है। हमले की मूल-आवश्यकता CVSS वेक्टर विशेषता PR:H द्वारा दर्शाई गई है। विक्रेता बताता है: "[A]s per the PoC this vulnerability needs a rooted device to exploit. PhonePe does not consider vulnerabilities found in rooted device as valid because there is not real-world exploit scenario."

स्रोत

• phonepe-sensitive-data-exposure-cve-2025-5154PoC

  CVE-2025-5154: PhonePe Android ऐप में प्रमाणीकरण टोकन, PII और KYC डेटा के अनएन्क्रिप्टेड स्थानीय भंडारण के लिए प्रूफ-ऑफ-कॉन्सेप्ट, जो रूट एक्सेस के माध्यम से खाता अधिग्रहण और डेटा निष्कासन को सक्षम बनाता है।