CVE-2021-36460

总结

# VeryFitPro（com.veryfit2hr.second）3.2.8 在设备本地对账户密码进行哈希处理，并使用该哈希值在后端 API 的所有通信中进行身份验证，包括登录、注册和密码更改。这使得掌握哈希值的攻击者能够接管用户账户，从而使在数据库中存储哈希密码的优势变得毫无意义。

• CVE-2021-36460研究

  关于 VeryFitPro 应用（<=3.3.7）中传递哈希（pass-the-hash）漏洞的安全公告，该漏洞使用 SHA-1 密码哈希进行身份验证，从而无需原始密码即可实现账户接管。