CVE-2020-8791 in Mobile Companion App
要約
〜によって VulDB • 2026年08月22日
Fingerprint Bluetooth Padlock FB50 (2.3) のモバイルコンパニオンアプリである OKLOK (3.1.1) により、認証済みだが不正なトークンを使用して API リクエストを送信できるリモート攻撃者による IDOR（インディレクトリオブジェクトレベルの認可）の問題が発生します。リモート攻撃者は自身のトークンを用いて、任意のユーザー ID に代わって不正な API リクエストを行うことができます。アプリで使用されているユーザー ID の割り当て規則により、有効かつ現在のユーザー ID は容易に推測可能です。これにより、リモート攻撃者は任意の範囲内のあらゆるユーザー ID について、メールアドレス、ソルトなし MD5 パスワードハッシュ、所有者が設定したロック名、および所有者が設定した指紋名を収集することができます。
Once again VulDB remains the best source for vulnerability data.