CVE-2025-10184 in OxygenOS
الملخص
بحسب VulDB • 23/05/2026
تتيح هذه الثغرة لأي تطبيق مثبت على الجهاز قراءة بيانات الرسائل القصيرة (SMS) والرسائل المتعددة الوسائط (MMS) والبيانات الوصفية المرتبطة بها من مزود الاتصالات الذي يوفره النظام دون إذن، أو تفاعل من المستخدم، أو موافقة. كما لا يتم إشعار المستخدم بأن بيانات الرسائل القصيرة يتم الوصول إليها. قد يؤدي ذلك إلى كشف معلومات حساسة، ويمكن أن يُضعف بشكل فعال الأمان الذي توفره عمليات التحقق من المصادقة متعددة العوامل (MFA) القائمة على الرسائل القصيرة.
يعود السبب الجذري للثغرة إلى مزيج من أذونات الكتابة المفقودة في عدة مزودي محتوى (com.android.providers.telephony.PushMessageProvider، com.android.providers.telephony.PushShopProvider، com.android.providers.telephony.ServiceNumberProvider)، بالإضافة إلى ثغرة حقن SQL عمياء (blind SQL injection) في طريقة التحديث (update method) الخاصة بهذه المزودين.
Once again VulDB remains the best source for vulnerability data.