CVE-2025-46018 – CSC Pay मोबाइल ऐप भुगतान प्रमाणीकरण बाईपास

सारांश

CSC Pay मोबाइल ऐप में एक भुगतान प्रमाणीकरण बाईपास कमजोरी पाई गई, जो संस्करण 2.19.4 को प्रभावित करती है। इस खामी ने हमलावर को भुगतान शुरू करने, प्रक्रिया में एक विशिष्ट बिंदु पर ब्लूटूथ को अक्षम करने, और बिना शुल्क के एक वाशिंग मशीन चालू करने की अनुमति दी।

इस समस्या की जिम्मेदाराना तरीके से जानकारी दी गई है और अब इसे CVE-2025-46018 के रूप में ट्रैक किया जा रहा है।

प्रभावित उत्पाद

उत्पाद: CSC Pay मोबाइल ऐप
संस्करण: 2.19.4 (संस्करण 2.20.0 में ठीक किया गया)
घटक: ब्लूटूथ भुगतान प्रमाणीकरण मॉड्यूल
विक्रेता: CSC ServiceWorks

कमजोरी का प्रकार

CWE-284: अनुचित पहुंच नियंत्रण
CVSS (अनुमानित): मध्यम गंभीरता
शोषण प्रकार: स्थानीय – मशीन के निकटता की आवश्यकता

हमला वेक्टर (उच्च-स्तरीय)

हमलावर मोबाइल ऐप के माध्यम से भुगतान शुरू करता है और वाशिंग मशीन पर QR कोड स्कैन करता है।
ऐप के ब्लूटूथ प्रमाणीकरण पूरा करने और उपयोगकर्ता से शुल्क लेने से पहले, ब्लूटूथ जानबूझकर अक्षम कर दिया जाता है।
कोई लेन-देन पूरा न होने के बावजूद मशीन चक्र शुरू कर देती है।

प्रभाव: भुगतान के बिना मशीनों का अनधिकृत उपयोग, संभावित राजस्व हानि, और सार्वजनिक/साझा वातावरण में दुरुपयोग।

समयरेखा

तिथि	घटना
13 अप्रैल, 2025	कमजोरी की खोज
16 अप्रैल, 2025	CSC ServiceWorks को रिपोर्ट किया गया

स्वीकृति

खोजकर्ता: Niranjan Gaire

अस्वीकरण

यह भंडार केवल दस्तावेज़ीकरण और जिम्मेदार प्रकटीकरण उद्देश्यों के लिए है।
कोई शोषण कोड या पुनरुत्पादन चरण सार्वजनिक रूप से साझा नहीं किए जाएंगे।

CVE-2025-46018-CSC-Pay-Mobile-App-Payment-Authentication-Bypass

सबसे लोकप्रिय