CVE-2026-111492

WysokieCVSS 8.6

Opublikowano: 05/11/2026(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Streszczenie

W aplikacji MatchPoint na Androida występuje podatność SQL injection w obsłudze powiadomień push. Komponent przetwarza wiadomości z Firebase Cloud Messaging i buduje zapytania, konkatenując niezaufane dane. Atakujący może manipulować zapytaniami i uzyskać dostęp do poufnych informacji z lokalnej bazy danych, w tym poświadczeń.

Ocena ryzyka

Możliwy wyciek danych z lokalnej bazy aplikacji, w tym zapisanych poświadczeń, przez co zagrożone są dane użytkownika na urządzeniu. Zasięg ataku ogranicza się do konkretnego urządzenia.

Rekomendacja

Zaktualizuj aplikację MatchPoint do wersji, w której poprawiono podatność, i unikaj instalowania wersji wskazanych w raporcie. Stosuj parametryzowane zapytania zamiast konkatenacji danych wejściowych.

Inne podatności w MatchPoint Android app

CVE-2026-111494Krytyczne
Aplikacja MatchPoint na Androida nieprawidłowo waliduje certyfikaty TLS, ponieważ używa TrustManagera akceptującego każdy certyfikat oraz permisywnego walidatora nazwy hosta. Dodatkowo aplikacja zezwala na niezaszyfrowany ruch HTTP, co umożliwia atakującemu przechwycenie i modyfikację komunikacji, w tym danych uwierzytelniających i danych osobowych.

Oryginalny opis (angielski, źródło NVD)

SQL injection in the push notification handler of the MatchPoint Android app, which processes messages from Firebase Cloud Messaging and constructs queries by concatenating untrusted data. An attacker capable of interacting with the component could manipulate queries and access sensitive information from the local database, including credentials stored in the versions described in the report. The scope of the injection is limited to the device.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS