GV-Faceのアプリに埋め込まれたAPIキーが見つかり情報が漏れる脆弱性
Summary
GV-Face Android版v2.2.1では、APIキーがアプリのパッケージ内に直接書き込まれており、取り出されるおそれがあります。Androidアプリは解析されやすいため、第三者がこの鍵を取り出して不正に使うことも考えられ、CVSSは7.5です。修正版の有無は公表されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
GV-Face Android版v2.2.1では、APIキーがアプリのパッケージ内に直接書き込まれており、取り出されるおそれがあります。Androidアプリは解析されやすいため、第三者がこの鍵を取り出して不正に使うことも考えられ、CVSSは7.5です。修正版の有無は公表されていないため、最新の情報を確認してください。
Original description The description as published by the source.
An
API key is hardcoded and retrievable from the GV-Face package. Since
Android applications can be reverse engineered, embedding sensitive API
credentials directly in the client application may allow unauthorized users to
extract and misuse the key.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web geovision.com.tw
- web nvd.nist.gov
- web github.com