CVE-2026-103097

WysokieCVSS 7.5

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Klucz API jest na stałe zapisany w pakiecie aplikacji i możliwy do odzyskania. Ponieważ aplikacje Android mogą być poddane reverse engineeringowi, osadzenie wrażliwych danych uwierzytelniających w aplikacji klienckiej może umożliwić nieautoryzowanym użytkownikom wyodrębnienie i niewłaściwe użycie klucza.

Ocena ryzyka

Wyciek klucza API może prowadzić do nieautoryzowanego dostępu do usług, kosztów związanych z użyciem API lub naruszenia danych.

Rekomendacja

Należy usunąć klucz z aplikacji i przechowywać go bezpiecznie po stronie serwera, stosując mechanizmy uwierzytelniania po stronie backendu. Zaleca się również rotację klucza i wdrożenie monitorowania użycia.

Inne podatności w Android application

CVE-2026-103096Wysokie
Klucz API jest na stałe zapisany w pakiecie aplikacji i możliwy do odzyskania. Ponieważ aplikacje Android mogą być poddane reverse engineeringowi, osadzenie wrażliwych danych uwierzytelniających w aplikacji klienckiej może umożliwić nieautoryzowanym użytkownikom wyodrębnienie i niewłaściwe użycie klucza.

Oryginalny opis (angielski, źródło NVD)

An API key is hardcoded and retrievable from the application package. Since Android applications can be reverse engineered, embedding sensitive API credentials directly in the client application may allow unauthorized users to extract and misuse the key.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS