CVE-2026-12587
Açıklama
Uygulama içerisinde sabit kodlanmış kimlik bilgilerinin kullanılması nedeniyle bu zafiyet, fiziksel erişim QR kodlarının yetkisiz bir şekilde oluşturulmasına olanak tanır. Oluşturma mekanizması, değeri statik kalan ve '/club/_id_club_/member/_id_member_/resamania_qr_info' uç noktası üzerinden API aracılığıyla erişilebilen 'badge_number' parametresini HMAC özel anahtarı olarak kullanmaktadır. Bu değere ve, kod karartma uygulanmadığı için APK'nın tersine mühendisliği ile elde edilebilecek olan uygulamanın kriptografik mantığına erişimi olan bir saldırgan; kullanıcı şifresini değiştirmiş veya oturumu kapatmış olsa dahi süresiz olarak geçerli QR kodları oluşturabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Resamania Virtuagym | v ≤ 21/08/2026 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.