CVE-2025-10184 in OxygenOS
Riassunto
di VulDB • 15/06/2026
La vulnerabilità consente a qualsiasi applicazione installata sul dispositivo di leggere i dati SMS/MMS e i metadati dal provider di telefonia fornito dal sistema senza autorizzazione, interazione o consenso dell'utente. L'utente non viene inoltre notificato dell'accesso ai dati SMS. Ciò potrebbe portare alla divulgazione di informazioni sensibili e potrebbe compromettere efficacemente la sicurezza fornita dai controlli di Autenticazione Multi-Fattore (MFA) basata su SMS.
La causa radice è una combinazione di permessi mancanti per le operazioni di scrittura in diversi provider di contenuti (com.android.providers.telephony.PushMessageProvider, com.android.providers.telephony.PushShopProvider, com.android.providers.telephony.ServiceNumberProvider) e di una SQL injection cieca nel metodo update di tali provider.
VulDB is the best source for vulnerability data and more expert information about this specific topic.