Splashin iOS 访问控制漏洞

漏洞信息

漏洞名称： Splashin iOS 访问控制漏洞

漏洞编号：

  • CVE： CVE-2025-45156, CVE-2025-45157

漏洞类型： 权限绕过

漏洞等级： 高危

漏洞描述： Splashin iOS是一款提供实时位置服务的应用程序，主要面向个人用户，允许用户分享和查看彼此的位置信息。该应用程序在v2.0版本中存在两个严重的访问控制漏洞（CVE-2025-45156和CVE-2025-45157），影响了其核心功能的安全性。

第一个漏洞（CVE-2025-45156）涉及应用程序的两个RPC端点（/rest/v1/rpc/get_user_locations_by_user_ids_minimal和/rest/v1/rpc/location-request），服务器未正确检查用户的订阅级别，导致免费用户可以绕过限制，以低于10分钟的间隔轮询位置信息，并触发“强制更新”功能。

第二个漏洞（CVE-2025-45157）同样涉及/get_user_locations_by_user_ids_minimal端点，攻击者可以通过注入任意用户ID，获取非目标用户列表中的用户位置数据，导致严重的信息泄露。

这些漏洞的影响极为严重，首先，任何已认证的免费账户都可以近乎实时地跟踪其他用户的位置，严重侵犯用户隐私。其次，这些漏洞削弱了高级订阅服务的价值，可能导致应用程序收入下降。最后，未受控制的轮询操作增加了后端服务器的负载，并为数据抓取打开了大门。这些漏洞无需复杂的技术即可利用，且攻击者可以在不需要额外认证的情况下自动执行攻击，极大地增加了潜在的安全风险。

产品厂商： Splashin

产品名称： Splashin iOS

影响版本： v2.0

来源： https://github.com/carterlasalle/splashin-cve-2025

类型： CVE-2025:github search

仓库文件

  • README.MD
  • docs

来源概述

Splashin iOS Access‑Control Vulnerabilities

CVE‑2025‑45156 & CVE‑2025‑45157

Big picture first: Splashin iOS v2.0 lets free‑tier accounts quietly unlock real‑time location features that are advertised as premium‑only. These two CVEs document how the bypass works, prove the impact, and explain how to fix it.

CVE‑2025‑45156
CVE‑2025‑45157

Contents

  1. Vulnerability snapshots
  2. Impact at a glance
  3. Quick‑start PoC guide
  4. Disclosure timeline
  5. Credits
  6. License

Vulnerability snapshots

CVE Component What breaks Severity
CVE‑2025‑45156 /rest/v1/rpc/get_user_locations_by_user_ids_minimal and /rest/v1/rpc/location-request Server never checks subscription level, so free users poll at <10 min intervals and trigger “force update” High
CVE‑2025‑45157 /rest/v1/rpc/get_user_locations_by_user_ids_minimal Injecting arbitrary user IDs leaks location data for users outside the attacker’s target list Critical

Full technical write‑ups live in the Markdown files above and the PDF in /docs.

Impact at a glance

  • Privacy: Any authenticated free account can track another player in near real time.
  • Business: Premium subscriptions lose value; app revenue drops.
  • Operations: Unchecked polling raises backend load and opens the door to data scraping.

Quick‑start PoC guide

ADDED SOON