🇰🇷 한글 설명
AdForest - Classified Android 앱 4.0.12 버전(패키지명 scriptsbundle.adforest, 개발자 Muhammad Jawad Arshad)의 인증 메커니즘에 부적절한 접근 제어 취약점이 존재합니다. 앱은 Base64로 인코딩된 이메일 주소를 인가 자격증명으로 사용하며, 공격자가 이를 조작해 사용자 계정에 무단 접근할 수 있습니다. 악용 시 계정 탈취, 개인정보 유출, 플랫폼 악용으로 이어질 수 있습니다.
💡 쉬운 설명
이 앱은 사용자의 이메일을 살짝 변환한 값만으로 본인 확인을 하고 있습니다. 누구든 그 값을 흉내 내면 다른 사람의 계정에 몰래 들어갈 수 있습니다.
🇺🇸 원문 (English)
AdForest - Classified Android App version 4.0.12 (package name scriptsbundle.adforest), developed by Muhammad Jawad Arshad, contains an improper access control vulnerability in its authentication mechanism. The app uses a Base64-encoded email address as the authorization credential, which can be manipulated by attackers to gain unauthorized access to user accounts. Successful exploitation could result in account compromise, privacy breaches, and misuse of the platform.
📍 영향받는 시스템
AdForest Classified Android 앱 4.0.12 버전 (패키지: scriptsbundle.adforest)
⚔️ 공격 벡터
사용자 이메일을 Base64로 인코딩한 값을 인증 토큰처럼 조작해 전송하여 타인 계정에 무단 로그인
🛡️ 대응 방법
Base64 이메일 기반 인증을 제거하고 서버 측 세션/토큰 기반 인증 및 접근 제어를 구현하며, 개발사 제공 최신 패치 버전으로 업데이트
🔧 검증 코드
출력된 versionName이 4.0.12이면 취약한 버전이므로 즉시 업데이트 또는 앱 제거가 필요하며, 패키지가 없으면 설치되어 있지 않은 것입니다.
adb shell dumpsys package scriptsbundle.adforest 2>/dev/null | grep -E 'versionName'