CVE-2025-68713
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 — wyżej niż 6% wszystkich znanych CVE
Streszczenie
W aplikacji Rakuten Send Anywhere dla systemu Android (wersja 23.2.9) odkryto podatność, która pozwala nieufnym aplikacjom na wymuszanie pobierania dowolnych plików do pamięci aplikacji. Pliki te pojawiają się w zaufanym interfejsie Otrzymane aplikacji, co stwarza możliwość wykonania dowolnego kodu lub wywołania stanu odmowy usługi przez przeciążenie zasobów.
Ocena ryzyka
Organizacja może być narażona na wykonanie złośliwego kodu lub ataki typu denial-of-service, co może prowadzić do utraty danych lub przestoju w działaniu aplikacji.
Rekomendacja
Zaleca się aktualizację aplikacji do najnowszej wersji oraz monitorowanie i ograniczenie dostępu do aplikacji, aby zminimalizować ryzyko wykorzystania tej podatności.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Rakuten Send Anywhere (File Transfer) for Android (com.estmob.android.sendanywhere) 23.2.9. The vulnerability allows untrusted applications (with no permissions) to force arbitrary file downloads into the app's scoped storage. The resulting files appear in the application's trusted Received interface. These conditions establish a vector for arbitrary code execution if the payload is an APK file, or a denial-of-service condition through resource exhaustion from oversized transfers.