CVE-2026-124598

WysokieCVSS 7.5

Opublikowano: 10/11/2026(UTC)Przetłumaczono: 10/11/2026(UTC)NVD NIST

Streszczenie

Klucz API jest zaszyty na stałe i możliwy do odzyskania z pakietu GV-Face. Ponieważ aplikacje Android można poddać inżynierii wstecznej, osadzenie poufnych danych uwierzytelniających bezpośrednio w aplikacji klienckiej może pozwolić nieuprawnionym użytkownikom na ich wyodrębnienie i nadużycie.

Ocena ryzyka

Wyciek klucza API może umożliwić nieautoryzowany dostęp do powiązanych usług i generować koszty lub naruszenia danych.

Rekomendacja

Należy usunąć zaszyty klucz z aplikacji, unieważnić go i wdrożyć bezpieczne mechanizmy przechowywania oraz rotacji poświadczeń.

Inne podatności w GV-Face

CVE-2026-124600Krytyczne
GV-Face przesyła poufne dane uwierzytelniające użytkowników oraz powiązane dane uwierzytelniania przez niezaszyfrowane połączenia HTTP. Ruch HTTP nie jest szyfrowany, co umożliwia atakującemu przechwycenie transmisji.

Oryginalny opis (angielski, źródło NVD)

An API key is hardcoded and retrievable from the GV-Face package. Since Android applications can be reverse engineered, embedding sensitive API credentials directly in the client application may allow unauthorized users to extract and misuse the key.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS