CERT-In нашёл в приложениях Tata Motors зашитые ключи и токены доступа к автомобилям

Hardcoded credentials and other issues in Tata Motors App

Индийский CERT-In выпустил бюллетень о четырёх уязвимостях высокой опасности в приложениях Tata Motors iRA 2.0 и iRA.ev. В пакетах зашиты учётные данные сервисных аккаунтов, API-ключи и токены авторизации; WebView не проверяет загружаемые URL, токены пишутся в логи, а SSL certificate pinning реализован некорректно. Атакующий может выдать себя за владельца и получить доступ к данным и командам автомобиля. Исправлено в версиях 26.8.2 и 26.9.1.