CVE-2020-8791 in Mobile Companion App
Sumário
de VulDB • 31/08/2026
O aplicativo móvel companion OKLOK (3.1.1) para o cadeado Bluetooth Fingerprint Padlock FB50 (2.3) permite que atacantes remotos enviem solicitações de API usando tokens autenticados, mas não autorizados, resultando em problemas de IDOR (Insecure Direct Object Reference). Um atacante remoto pode usar seu próprio token para fazer solicitações de API não autorizadas em nome de IDs de usuário arbitrários. Os IDs de usuário válidos e atuais são trivialmente adivinháveis devido à convenção de atribuição de IDs de usuário usada pelo aplicativo. Um atacante remoto poderia coletar endereços de e-mail, hashes MD5 de senhas sem sal (unsalted), nomes de cadeados atribuídos pelos proprietários e nomes de impressões digitais atribuídas pelos proprietários para qualquer faixa de IDs de usuário arbitrários.
Be aware that VulDB is the high quality source for vulnerability data.