BDU:2025-14726

Опубликовано: 22 сент. 2025

Источник: fstec

CVSS3: 7.1

CVSS2: 4.9

EPSS Низкий

Описание

Уязвимость операционной системы OxygenOS устройств OnePlus 8T и 10 Pro 5G с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к конфиденциальной информации

Вендор

OnePlus

Наименование ПО

OxygenOS

Версия ПО

12 (OxygenOS)

14 (OxygenOS)

15 (OxygenOS)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

OnePlus OxygenOS 12

OnePlus OxygenOS 14

OnePlus OxygenOS 15

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,1)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,2)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- ограничение доступа к устройствам из общедоступных сетей (Интернет);

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-10184
CVE

EPSS

Процентиль: 28%

0.00101

Низкий

7.1 High

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVE-2025-10184

nvd

5 месяцев назад

The vulnerability allows any application installed on the device to read SMS/MMS data and metadata from the system-provided Telephony provider without permission, user interaction, or consent. The user is also not notified that SMS data is being accessed. This could lead to sensitive information disclosure and could effectively break the security provided by SMS-based Multi-Factor Authentication (MFA) checks. The root cause is a combination of missing permissions for write operations in several content providers (com.android.providers.telephony.PushMessageProvider, com.android.providers.telephony.PushShopProvider, com.android.providers.telephony.ServiceNumberProvider), and a blind SQL injection in the update method of those providers.

GHSA-q9jj-p5hc-gfmj

github