CVE-2026-9222
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Aplikacja Setracker2 Android Companion App (com.tgelec.setracker) w wersjach 3.1.5 i wcześniejszych wymaga jedynie skrótu hasła podczas uwierzytelniania w usługach backendowych z poziomu klienta. Osoba atakująca, znająca ten skrót, może się uwierzytelnić i uzyskać pełny dostęp.
Ocena ryzyka
Ryzyko polega na tym, że atakujący posiadający skrót hasła (np. uzyskany z wycieku lub przechwycenia) może podszyć się pod użytkownika i przejąć kontrolę nad jego kontem oraz danymi.
Rekomendacja
Należy niezwłocznie zaktualizować aplikację do najnowszej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, rozważ tymczasowe wyłączenie korzystania z aplikacji do czasu wydania łatki.
Inne podatności w Setracker2 Android Companion App (com.tgelec.setracker) wersje 3.1.5 i wcześniejsze
Zobacz wszystkie- CVE-2026-9220Wysokie
Aplikacja Setracker2 Android Companion App w wersjach 3.1.5 i starszych szyfruje komunikację między zegarkiem a backendem przy użyciu statycznych, zakodowanych na stałe kluczy AES i wektorów inicjalizujących. Umożliwia to atakującemu odszyfrowanie ruchu sieciowego pochodzącego z zegarka Setracker2.
- CVE-2026-9219Średnie
Aplikacja Setracker2 Android Companion App (com.tgelec.setracker) w wersjach 3.1.5 i starszych generuje przewidywalny identyfikator rejestracji na podstawie numeru IMEI. System rejestracji nie wymaga dodatkowego uwierzytelnienia przed przypisaniem identyfikatora, co umożliwia atakującemu, po uzyskaniu tego identyfikatora, dowolne przypisywanie zegarków należących do innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Setracker2 Android Companion App com.tgelec.setracker versions 3.1.5 and prior only require the password hash when authenticating with backend services from the client. This could allow an attacker, who knows the hash, to authenticate and gain full access.