CVE-2025-65827

Meatmeet – transmisja danych w czystym tekście (HTTP), przechwycenie tokenów uwierzytelniania

CVSS 9.1v3.1pub. 2025-12-10upd. 2025-12-30

Aplikacja mobilna Meatmeet przesyła ruch sieciowy, w tym dane uwierzytelniające, przez nieszyfrowane połączenie HTTP. Atakujący posiadający dostęp do ruchu sieciowego może przechwycić i zmodyfikować transmitowane dane, co może prowadzić do całkowitego przejęcia konta użytkownika.

▸ Pokaż oryginał (EN)

The mobile application is configured to allow clear text traffic to all domains and communicates with an API server over HTTP. As a result, an adversary located "upstream" can intercept the traffic, inspect its contents, and modify the requests in transit. TThis may result in a total compromise of the user's account if the attacker intercepts a request with active authentication tokens or cracks the MD5 hash sent on login.

🤖 Analiza AI

Jak działa

Aplikacja mobilna Meatmeet jest skonfigurowana tak, aby zezwalać na ruch w czystym tekście (clear text traffic) do wszystkich domen, komunikując się z serwerem API poprzez protokół HTTP zamiast HTTPS. Atakujący zajmujący pozycję pośrednią w sieci (atak typu man-in-the-middle, 'upstream') może przechwytywać transmitowany ruch, odczytywać jego zawartość oraz modyfikować żądania w trakcie ich przesyłania. Podczas logowania aplikacja przesyła skrót hasła w formacie MD5, który jest podatny na łamanie. Jeśli atakujący przechwyci żądanie zawierające aktywne tokeny uwierzytelniania, może natychmiast przejąć sesję użytkownika bez konieczności łamania hasła.

Skutki

Atakujący może przechwycić aktywne tokeny uwierzytelniania lub skrót MD5 hasła, co może doprowadzić do całkowitego przejęcia konta użytkownika. Możliwa jest również modyfikacja żądań w trakcie transmisji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Producent powinien wymusić stosowanie szyfrowanego protokołu HTTPS dla całej komunikacji z serwerem API, usunąć zezwolenie na clear text traffic w konfiguracji aplikacji oraz zastąpić słaby algorytm haszowania MD5 bezpiecznym mechanizmem przechowywania i przesyłania poświadczeń (np. bcrypt, Argon2). Do czasu wdrożenia poprawki użytkownicy powinni unikać korzystania z aplikacji w niezaufanych sieciach (publiczne Wi-Fi).

Kogo dotyczy

Aplikacja mobilna Meatmeet (produkt Meatmeet); szczegółowe wersje wskazane w referencjach producenta

Uwagi

Podatność została zgłoszona przez badacza o pseudonimie 'dead1nfluence', co wynika bezpośrednio z referencji dołączonych do opisu CVE. Aplikacja używa algorytmu MD5 do przesyłania hasła podczas logowania, co dodatkowo zwiększa ryzyko.