CVE-2025-10184 in OxygenOS
Tóm tắt
Bởi VulDB • 02/06/2026
Lỗ hổng cho phép bất kỳ ứng dụng nào được cài đặt trên thiết bị đọc dữ liệu SMS/MMS và siêu dữ liệu từ nhà cung cấp Telephony do hệ thống cung cấp mà không cần quyền, tương tác của người dùng hoặc sự đồng ý. Người dùng cũng không được thông báo rằng dữ liệu SMS đang được truy cập. Điều này có thể dẫn đến việc tiết lộ thông tin nhạy cảm và có thể phá vỡ hiệu quả các biện pháp bảo mật do các kiểm tra xác thực đa yếu tố (MFA) dựa trên SMS cung cấp.
Nguyên nhân gốc rễ là sự kết hợp giữa việc thiếu quyền cho các thao tác ghi trong một số nhà cung cấp nội dung (com.android.providers.telephony.PushMessageProvider, com.android.providers.telephony.PushShopProvider, com.android.providers.telephony.ServiceNumberProvider) và một lỗi SQL injection mù (blind SQL injection) trong phương thức update của các nhà cung cấp này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.