TechCrunch：Wyndham在Android应用中发现密码后撤销凭证

酒店及度假村连锁企业Wyndham在一名网络安全研究人员在源代码中发现密码后，撤销了嵌入其Android应用中的凭证。TechCrunch报道称，该密码可访问托管在Salesforce平台上的公司内部数据库。

可能可访问哪些数据

研究人员Robert Wiggins向该媒体表示，利用这些凭证可以访问客户姓名、电子邮箱地址和Wyndham忠诚度计划会员号码。该数据库还存储了JWT登录令牌，这些令牌可让用户无需再次输入密码便保持在应用中的登录状态，以及公司的文件和文档。

Wiggins称，该数据库拥有数百万条记录，但他无法确定可能被访问的客户记录的确切数量。Wyndham表示，其奖励计划约有1.29亿名注册会员。

Wyndham的回应

Wiggins没有找到向Wyndham报告该漏洞的方法，于是向TechCrunch寻求帮助。该媒体联系公司的网络安全专家后，相关凭证被撤销，从而终止了对该数据库的进一步访问。

更多最新消息请关注 UA.News Telegram 频道 Telegram.

Wyndham的一名发言人表示，公司已采取措施解决这一问题，其安全团队没有未经授权访问的证据。与此同时，该公司没有回答其是否具备技术能力，包括服务器日志，以核查研究人员发现问题前对数据库的访问情况。

Wiggins指出，在没有此前活动信息的情况下，无法排除攻击者可能复制了大量客户个人信息的可能性。Wyndham也没有说明是否计划通知数据可能被访问的客户，以及将如何从长期角度解决应用中的问题。

将密码或其他凭证嵌入公开可用应用的做法被称为硬编码。这种做法会带来风险，因为拥有应用副本的人可能提取密码，并将其用于访问关联的服务器或数据库。