PT-2026-7854
CVE-2026-26214
·
تاريخ النشر
2026-02-12
·
تاريخ التحديث
2026-02-20
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Galaxy FDS Android SDK (XiaoMi/galaxy-fds-sdk-android) الإصدارات الأقدم من 3.0.9
الوصف
يقوم Galaxy FDS Android SDK بتعطيل التحقق من اسم المضيف عبر TLS عندما يكون HTTPS ممكّنًا بشكل افتراضي. وعلى وجه التحديد، تقوم الدالة
createHttpClient() داخل الفئة GalaxyFDSClientImpl بتكوين Apache HttpClient باستخدام SSLSocketFactory.ALLOW ALL HOSTNAME VERIFIER، مما يسمح بقبول أي شهادة TLS بغض النظر عن عدم توافق اسم المضيف. وهذا يسمح لمهاجم من نوع «الرجل في الوسط» (man-in-the-middle) باعتراض وتعديل الاتصالات مع نقاط نهاية التخزين السحابي Xiaomi FDS، مما قد يؤدي إلى الكشف عن بيانات اعتماد المصادقة ومحتوى الملفات واستجابات واجهة برمجة التطبيقات (API). وقد وصل مشروع البرمجيات مفتوحة المصدر XiaoMi/galaxy-fds-sdk-android إلى حالة «نهاية العمر الافتراضي».التوصيات
الإصدارات الأقدم من 3.0.9 متأثرة بهذه الثغرة. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على تصحيح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾