研究人员称,温德姆安卓应用内置硬编码密码,导致客户数据外泄

该凭证可访问托管在 Salesforce 上的数据库,内含姓名、邮箱、会员号和登录令牌;温德姆在 TechCrunch 联系后已将其撤销,并称没有发现未经授权访问的证据。
为何重要
温德姆称其奖励计划约有 1.29 亿会员,因此应用代码中留下的一个密码就让庞大的客户群面临风险。What Security 的安全研究员 Robert Wiggins 发现了该凭证,并称数据库有数百万条记录,但他无法确定暴露的客户记录数量。数据库还存有让客户保持登录的令牌。温德姆未说明是否有日志可核查此前的访问。接下来要看其是否通知客户或监管机构。
要点
- 密码藏在温德姆安卓应用的源代码中
- 数据库托管于 Salesforce
- 暴露姓名、邮箱、会员号和登录令牌
- 由 What Security 的 Robert Wiggins 发现
- 温德姆称拥有约 1.29 亿奖励会员