Приложение ZTE Smart Life содержит уязвимость внедрения SQL, которая позволяет злоумышленникам выполнять операторы UNION SELECT для запроса конфиденциальных данных в базе данных Feedback.db по таблицам, включая учетные записи пользователей, номера телефонов, содержимое отзывов и пути к локальному журналу отладки, тем самым обеспечивая кражу локальных данных конфиденциальности.
Показать оригинальное описание (EN)
The ZTE Smart Life app contains an SQL injection vulnerability that allows attackers to execute UNION SELECT statements to query sensitive data in the feedback.db database across tables, including user accounts, phone numbers, feedback content, and local debug log paths, thereby enabling the theft of local privacy data.
Характеристики атаки
Способ атаки
Физический
Нужен физический доступ
Сложность
Высокая
Сложно эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1