« Volver al listado

CVE-2018-17401

Estado: ModificadaAlta (8.8)—

** EN DISPUTA ** La aplicación de cartera PhonePe (también conocida como com.PhonePe.app) desde la versión 3.0.6 a la 3.3.26 para Android podría permitir que los atacantes realicen ataques de toma de control de la cuenta explotando su función de "Forgot Password". NOTA: el fabricante dice que, para explotar esto, el usuario debe instalar explícitamente una aplicación maliciosa y otorgar el permiso de accesibilidad a la aplicación maliciosa, y que la plataforma Android proporciona avisos suficientes a los usuarios antes de habilitar la accesibilidad para cualquier aplicación. Además, cree que es similar a instalar techados maliciosos o a que una aplicación maliciosa tome instantáneas.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Tecnologías afectadas (1)

Phonepe — Phonepe

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2018-17401",
  "cveTags": [
    {
      "tags": [
        "disputed"
      ],
      "sourceIdentifier": "cve@mitre.org"
    }
  ],
  "metrics": {
    "cvssMetricV2": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "version": "2.0",
          "baseScore": 4.3,
          "accessVector": "NETWORK",
          "vectorString": "AV:N/AC:M/Au:N/C:P/I:N/A:N",
          "authentication": "NONE",
          "integrityImpact": "NONE",
          "accessComplexity": "MEDIUM",
          "availabilityImpact": "NONE",
          "confidentialityImpact": "PARTIAL"
        },
        "acInsufInfo": false,
        "impactScore": 2.9,
        "baseSeverity": "MEDIUM",
        "obtainAllPrivilege": false,
        "exploitabilityScore": 8.6,
        "obtainUserPrivilege": false,
        "obtainOtherPrivilege": false,
        "userInteractionRequired": true
      }
    ],
    "cvssMetricV30": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.0",
          "baseScore": 8.8,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "REQUIRED",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "vendor": "n/a",
          "product": "n/a",
          "versions": [
            {
              "status": "affected",
              "version": "n/a"
            }
          ]
        }
      ]
    }
  ],
  "published": "2018-09-23T22:29:00.620",
  "references": [
    {
      "url": "https://github.com/magicj3lly/appexploits/blob/master/PhonePe%20Authentication%20Bypass-2.pdf",
      "tags": [
        "Third Party Advisory"
      ],
      "source": "cve@mitre.org"
    },
    {
      "url": "https://github.com/magicj3lly/appexploits/blob/master/PhonePe%20Authentication%20Bypass-2.pdf",
      "tags": [
        "Third Party Advisory"
      ],
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Modified",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "nvd@nist.gov",
      "description": [
        {
          "lang": "en",
          "value": "CWE-640"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The PhonePe wallet (aka com.PhonePe.app) application 3.0.6 through 3.3.26 for Android might allow attackers to perform Account Takeover attacks by exploiting its Forgot Password feature.  NOTE: the vendor says that, to exploit this, the user has to explicitly install a malicious app and provide accessibility permission to the malicious app, that the Android platform provides fair warnings to the users before turning on accessibility for any application, and that it believes it is similar to installing malicious keyboards, or malicious apps taking screenshots"
    },
    {
      "lang": "es",
      "value": "** EN DISPUTA ** La aplicación de cartera PhonePe (también conocida como com.PhonePe.app) desde la versión 3.0.6 a la 3.3.26 para Android podría permitir que los atacantes realicen ataques de toma de control de la cuenta explotando su función de \"Forgot Password\". NOTA: el fabricante dice que, para explotar esto, el usuario debe instalar explícitamente una aplicación maliciosa y otorgar el permiso de accesibilidad a la aplicación maliciosa, y que la plataforma Android proporciona avisos suficientes a los usuarios antes de habilitar la accesibilidad para cualquier aplicación. Además, cree que es similar a instalar techados maliciosos o a que una aplicación maliciosa tome instantáneas."
    }
  ],
  "lastModified": "2026-06-17T01:45:46.233",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:phonepe:phonepe:*:*:*:*:*:android:*:*",
              "vulnerable": true,
              "matchCriteriaId": "79E18E1A-AC58-4297-B18D-44A75279EF84",
              "versionEndIncluding": "3.3.26",
              "versionStartIncluding": "3.0.6"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "cve@mitre.org"
}