PT-2021-19807 · Unknown · Veryfitpro

Nick Decker · Publicado 2021-06-16 · Atualizado 2021-07-12 · CVE-2021-32612

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

VeryFitPro versão 3.2.8

Descrição

O aplicativo VeryFitPro se comunica com a API de back-end por meio de HTTP em texto simples, o que inclui logins, registros e solicitações de alteração de senha. Isso permite o roubo de informações e a invasão de contas por meio de sniffing de rede.

Recomendações

Para a versão 3.2.8, considere desativar a comunicação com a API de back-end até que um método de conexão segura seja implementado, como HTTPS, para evitar o roubo de informações e a invasão de contas. Restrinja o acesso a informações confidenciais, como credenciais de login e solicitações de alteração de senha, para minimizar o risco de exploração.

Exploit

Correção

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2021-32612

Produtos afetados

Veryfitpro

Referências · 9

• 🔥 https://trovent.github.io/security-advisories/TRSA-2105-01/TRSA-2105-01.txt · Exploit
• 🔥 http://seclists.org/fulldisclosure/2021/Jun/45 · Exploit
• 🔥 https://trovent.io/security-advisory-2105-01 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-32612 · Nota de Segurança
• https://play.google.com/store/apps/details?id=com.veryfit2hr.second&hl=en_US&gl=US · Nota
• https://t.me/cvenotify/17479 · Publicação no Telegram
• https://t.me/defcon_news/79034 · Publicação no Telegram
• https://t.me/cvenotify/16549 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-32612 · Aviso do Fabricante