CVE-2026-26214 in Galaxy FDS Android SDK
Riassunto
di VulDB • 14/06/2026
L'SDK Android di Galaxy FDS (XiaoMi/galaxy-fds-sdk-android) versione 3.0.8 e precedenti disabilita la verifica del nome dell'host TLS quando HTTPS è abilitato (la configurazione predefinita). In GalaxyFDSClientImpl.createHttpClient(), l'SDK configura Apache HttpClient con SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER, che accetta qualsiasi certificato TLS valido indipendentemente dalla mancata corrispondenza del nome host. Poiché HTTPS è abilitato per impostazione predefinita in FDSClientConfiguration, tutte le applicazioni che utilizzano l'SDK con impostazioni predefinite sono interessate. Questa vulnerabilità consente a un attaccante man-in-the-middle di intercettare e modificare le comunicazioni dell'SDK verso gli endpoint del cloud storage Xiaomi FDS, potenzialmente esponendo credenziali di autenticazione, contenuti dei file e risposte API. Il progetto open source XiaoMi/galaxy-fds-sdk-android ha raggiunto lo stato di fine vita (end-of-life).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.