CVE-2026-111494

KrytyczneCVSS 9.1

Opublikowano: 05/11/2026(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Streszczenie

Aplikacja MatchPoint na Androida nieprawidłowo waliduje certyfikaty TLS, ponieważ używa TrustManagera akceptującego każdy certyfikat oraz permisywnego walidatora nazwy hosta. Dodatkowo aplikacja zezwala na niezaszyfrowany ruch HTTP, co umożliwia atakującemu przechwycenie i modyfikację komunikacji, w tym danych uwierzytelniających i danych osobowych.

Ocena ryzyka

Przechwycenie ruchu może doprowadzić do kradzieży poświadczeń i danych osobowych oraz do modyfikacji komunikacji.

Rekomendacja

Zaktualizuj aplikację MatchPoint do wersji z poprawną walidacją certyfikatów i wymuszonym HTTPS; do tego czasu unikaj przesyłania danych wrażliwych.

Inne podatności w MatchPoint Android app

CVE-2026-111492Wysokie
W aplikacji MatchPoint na Androida występuje podatność SQL injection w obsłudze powiadomień push. Komponent przetwarza wiadomości z Firebase Cloud Messaging i buduje zapytania, konkatenując niezaufane dane. Atakujący może manipulować zapytaniami i uzyskać dostęp do poufnych informacji z lokalnej bazy danych, w tym poświadczeń.

Oryginalny opis (angielski, źródło NVD)

Incorrect validation of TLS certificates in the MatchPoint Android app due to a TrustManager that accepts any certificate and a permissive hostname validator. Additionally, the app allows unencrypted HTTP traffic. An attacker capable of intercepting the victim's traffic could read and modify communications, including credentials and personal data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS