Tata Motors 应用硬编码凭证漏洞

Hardcoded credentials and other issues in Tata Motors App

印度国家计算机应急响应中心 CERT-In 发布了关于 Tata Motors 旗下 iRA 2.0 和 iRA.ev 应用的高危漏洞通告。研究发现，这两款连接车辆应用存在硬编码凭证、WebView 配置不当、日志泄露敏感令牌以及 SSL 证书绑定失效等严重问题。攻击者无需认证即可提取硬编码的 API Keys 和授权令牌，进而非法访问车辆后端服务，甚至冒充用户远程控制车辆。CERT-In 建议用户立即将应用升级至最新安全版本，以规避未授权访问和数据篡改风险。