Podatności Unknown Application

Wysokiego ryzyka procedury TrustAllCerts wyłączają standardową walidację certyfikatów TLS. W połączeniu z zakodowanymi na stałe kluczami szyfrowania DES, atakujący typu Man-in-the-Middle może odszyfrować ruch sieciowy.

Zdalny atakujący z niskimi uprawnieniami może wyliczyć wszystkich skonfigurowanych użytkowników i zidentyfikować konta z podwyższonymi uprawnieniami, korzystając z punktu końcowego /api/user/fetch-all.php.

Zdalny atakujący z niskimi uprawnieniami i ważną sesją może utworzyć nowe konta użytkowników z dowolnymi wartościami ról, w tym z najwyższym poziomem uprawnień, korzystając z funkcji /api/user/add.php.