happy0717/cve-2023-27703CVE-2023-27703 Una vulnerabilità di perdita dell'interfaccia di debug degli elementi nella versione Android di pikpak versione V1.29.2
CVE-2023-27703 Una vulnerabilità di leak dell'interfaccia di debug degli elementi nella versione Android di pikpak V1.29.2
fix at pikpak 1.30.1
[Descrizione suggerita] La versione Android di pikpak v1.29.2 è risultata contenere una fuga di informazioni tramite l'interfaccia di debug.
[Informazioni aggiuntive] Link dettagli:https://drive.google.com/drive/folders/1Szu9pjivVtG93ceECvnoAjeSABVyfDES?usp=sharing
[Tipo di vulnerabilità] Controllo degli accessi errato
[Fornitore del prodotto] https://mypikpak.com/
[Base del codice del prodotto interessato] Versione Android di pikpak - V1.29.2
[Componente interessato] Una vulnerabilità di leak dell'interfaccia di debug degli elementi nella versione Android di pikpak V1.29.2, che può portare all'esecuzione di codice js (XSS) e alla fuga di informazioni
[Tipo di attacco] Locale
[Impatto Divulgazione di informazioni] true
[Vettori di attacco] Link dettagli:https://drive.google.com/drive/folders/1Szu9pjivVtG93ceECvnoAjeSABVyfDES?usp=sharing
un bug nella versione Android di pikpak riguarda una vulnerabilità di leak dell'interfaccia di debug degli elementi, che può portare all'esecuzione di codice js e alla fuga di informazioni. La versione che sto utilizzando è:V1.29.2
Il punto di attivazione della vulnerabilità è quando si inserisce il codice di invito per riscattare il premium: inserisci un codice errato a piacere, quindi clicca continuamente sul pulsante "redeem now"; è necessario continuare a cliccare dopo il messaggio "troppi tentativi, riprova tra 24 ore". Poi vConsole apparirà in basso a destra nella pagina.
Penso che questo problema sia causato dall'inserimento del codice errato molte volte; è possibile vedere alcuni messaggi di errore nel log.
Penso che la comparsa di vConsole sia molto pericolosa: può portare a fuga di informazioni utente, debug delle interfacce delle richieste di rete, fuga di codice degli elementi, modifiche alle informazioni utente, ecc.
[Riferimento] https://drive.google.com/drive/folders/1Szu9pjivVtG93ceECvnoAjeSABVyfDES?usp=sharing
[Scopritore] happy0717
