CVE-2026-124600

KrytyczneCVSS 10.0

Opublikowano: 10/11/2026(UTC)Przetłumaczono: 10/11/2026(UTC)NVD NIST

Streszczenie

GV-Face przesyła poufne dane uwierzytelniające użytkowników oraz powiązane dane uwierzytelniania przez niezaszyfrowane połączenia HTTP. Ruch HTTP nie jest szyfrowany, co umożliwia atakującemu przechwycenie transmisji.

Ocena ryzyka

Przechwycenie niezaszyfrowanego ruchu może ujawnić poświadczenia użytkowników, co stanowi ryzyko dla poufności i może prowadzić do nieautoryzowanego dostępu.

Rekomendacja

Wdrożyć szyfrowanie HTTPS dla całej komunikacji GV-Face i wymusić jego stosowanie po stronie klientów oraz serwerów.

Inne podatności w GV-Face

CVE-2026-124598Wysokie
Klucz API jest zaszyty na stałe i możliwy do odzyskania z pakietu GV-Face. Ponieważ aplikacje Android można poddać inżynierii wstecznej, osadzenie poufnych danych uwierzytelniających bezpośrednio w aplikacji klienckiej może pozwolić nieuprawnionym użytkownikom na ich wyodrębnienie i nadużycie.

Oryginalny opis (angielski, źródło NVD)

GV-Face transmits sensitive user credentials and related authentication data over unencrypted HTTP connections. The HTTP traffic is not encrypted, an attacker with the ability to intercept network traffic.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS