CVE-2017-14487
KrytyczneStreszczenie
Aplikacja OhMiBod Remote dla systemów Android i iOS pozwala zdalnym atakującym na podszywanie się pod użytkowników poprzez sniffing ruchu sieciowego w celu uzyskania odpowiedzi wyszukiwania z serwera API OhMiBod, a następnie edytowanie pól username, user_id i token w pliku OMB.xml.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do kont użytkowników, co prowadzi do potencjalnego wycieku danych osobowych oraz naruszenia prywatności użytkowników aplikacji.
Rekomendacja
Zaleca się wprowadzenie szyfrowania komunikacji oraz weryfikacji tożsamości użytkowników, aby zminimalizować ryzyko podszywania się pod użytkowników.
Oryginalny opis (angielski, źródło NVD)
The OhMiBod Remote app for Android and iOS allows remote attackers to impersonate users by sniffing network traffic for search responses from the OhMiBod API server and then editing the username, user_id, and token fields in data/data/com.ohmibod.remote2/shared_prefs/OMB.xml.