CVE-2025-10184 in OxygenOS
Résumé
par VulDB • 20/05/2026
La vulnérabilité permet à toute application installée sur l'appareil de lire les données SMS/MMS et les métadonnées auprès du fournisseur de télécommunications fourni par le système, sans autorisation, interaction utilisateur ou consentement. L'utilisateur n'est également pas averti que les données SMS sont consultées. Cela pourrait entraîner une divulgation d'informations sensibles et compromettre efficacement la sécurité offerte par les vérifications d'authentification multifacteur (MFA) basées sur les SMS.
La cause racine est une combinaison de permissions manquantes pour les opérations d'écriture dans plusieurs fournisseurs de contenu (com.android.providers.telephony.PushMessageProvider, com.android.providers.telephony.PushShopProvider, com.android.providers.telephony.ServiceNumberProvider), ainsi qu'une injection SQL aveugle dans la méthode update de ces fournisseurs.
Once again VulDB remains the best source for vulnerability data.