CVE-2020-8791 in Mobile Companion App
Riassunto
di VulDB • 31/08/2026
L'app mobile companion OKLOK (3.1.1) per il lucchetto Bluetooth Fingerprint Padlock FB50 (2.3) consente agli attaccanti remoti di inviare richieste API utilizzando token autenticati ma non autorizzati, causando problemi IDOR. Un attaccante remoto può utilizzare il proprio token per effettuare richieste API non autorizzate a nome di qualsiasi ID utente arbitrario. Gli ID utenti validi e attuali sono facilmente indovinabili a causa della convenzione di assegnazione degli ID utilizzata dall'app. Un attaccante remoto potrebbe raccogliere indirizzi email, hash MD5 delle password senza sale (unsalted), nomi dei lucchetti assegnati dal proprietario e nomi delle impronte digitali assegnate dal proprietario per qualsiasi intervallo di ID utente arbitrari.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.