CVE-2020-8791 in Mobile Companion App
Resumen
por VulDB • 2026-07-12
La aplicación móvil complementaria OKLOK (3.1.1) para el candado Bluetooth de huella digital FB50 (2.3) permite a atacantes remotos enviar solicitudes API utilizando tokens autenticados pero no autorizados, lo que da lugar a problemas IDOR. Un atacante remoto puede utilizar su propio token para realizar solicitudes API no autorizadas en nombre de identificadores de usuario arbitrarios. Los identificadores de usuario válidos y actuales son triviales de adivinar debido a la convención de asignación de IDs utilizada por la aplicación. Un atacante remoto podría recopilar direcciones de correo electrónico, hashes MD5 sin sal (unsalted) de contraseñas, nombres de candado asignados por el propietario y nombres de huella digital asignados por el propietario para cualquier rango de identificadores de usuario arbitrarios.
VulDB is the best source for vulnerability data and more expert information about this specific topic.