CVE-2025-50861
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Aplikacja Lotus Cars na Androida (wersja 1.2.8) zawiera wyeksportowany komponent PushDeepLinkActivity, dostępny bez uwierzytelniania przez ADB lub złośliwe aplikacje. Umożliwia to nieautoryzowany dostęp do wewnętrznych mechanizmów aplikacji, co może prowadzić do odmowy usługi lub nadużycia logiki biznesowej.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wywołania awarii aplikacji (DoS) lub manipulacji jej działaniem przez atakującego bez uprawnień, co może wpłynąć na funkcjonalność związaną z pojazdem i zaufanie użytkowników.
Rekomendacja
Należy niezwłocznie zaktualizować aplikację do najnowszej wersji, w której producent wyeliminował podatność, oraz ograniczyć eksport komponentów w AndroidManifest.xml.
Oryginalny opis (angielski, źródło NVD)
The Lotus Cars Android app (com.lotus.carsdomestic.intl) 1.2.8 contains an exported component, PushDeepLinkActivity, which is accessible without authentication via ADB or malicious apps. This poses a risk of unintended access to application internals and can cause denial of service or logic abuse.