Bobdahacker

**Nome do Software Vulnerável e Versões Afetadas** Plataforma Petlibro Smart Pet Feeder versões até a 1.7.31 **Descrição** A Plataforma Petlibro Smart Pet Feeder está vulnerável a um bypass de autenticação. Atacantes não autenticados podem obter acesso a qualquer conta de usuário explorando falhas no processo de validação de token OAuth dentro do sistema de login social. Os atacantes podem enviar requisições ao endpoint da API `/member/auth/thirdLogin` com os parâmetros `Google ID` e `phoneBrand` manipulados para obter tokens de sessão completos e acesso à conta, contornando os procedimentos padrão de verificação OAuth. **Recomendações** Versões anteriores à 1.7.31 devem ser atualizadas. Como solução temporária, restrinja o acesso ao endpoint da API `/member/auth/thirdLogin` até que um patch esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Plataforma Petlibro Smart Pet Feeder versões até 1.7.31 **Descrição** A Plataforma Petlibro Smart Pet Feeder é afetada por um bypass de autorização. Isso permite que usuários não autorizados se adicionem como proprietários compartilhados em qualquer dispositivo. O problema ocorre devido à falta de verificações de permissão ao processar solicitações para a API de compartilhamento do dispositivo. Um atacante pode explorar essa vulnerabilidade para obter acesso não autorizado a dispositivos e visualizar informações do proprietário sem a devida autorização. **Recomendações** Atualize para uma versão posterior à 1.7.31.

**Nome do Software Vulnerável e Versões Afetadas** Plataforma Petlibro Smart Pet Feeder versões até a 1.7.31 **Descrição** A Plataforma Petlibro Smart Pet Feeder é afetada por uma vulnerabilidade de divulgação de informações. Isso permite acesso não autorizado a gravações de áudio privadas. O problema decorre da exploração de IDs de áudio sequenciais e endpoints de atribuição inseguros. Atacantes podem enviar solicitações para o endpoint da API `/device/deviceAudio/use` com IDs de áudio arbitrários para atribuir gravações a qualquer dispositivo. Posteriormente, os atacantes podem recuperar URLs de áudio para acessar gravações pertencentes a outros usuários. O parâmetro vulnerável é o ID de áudio usado na solicitação ao endpoint `/device/deviceAudio/use`. **Recomendações** Atualize para uma versão superior à 1.7.31.

Nome do Software Vulnerável e Versões Afetadas Plataforma Petlibro Smart Pet Feeder versões até 1.7.31 Descrição A Plataforma Petlibro Smart Pet Feeder é afetada por um problema de controle de acesso inadequado. A plataforma permite a manipulação não autorizada de dispositivos ao aceitar números de série arbitrários sem verificar a propriedade. Um atacante pode controlar qualquer dispositivo enviando números de série para as APIs de controle de dispositivos. Isso permite que alterem horários de alimentação, acionem alimentações manuais, acessem transmissões de câmera e modifiquem configurações do dispositivo sem verificações de autorização. Os endpoints de API vulneráveis são usados para o controle de dispositivos. O parâmetro vulnerável é o número de série. Recomendações Versões anteriores a 1.7.31 devem ser atualizadas.

**Nome do Software Vulnerável e Versões Afetadas** Plataforma Petlibro Smart Pet Feeder versões até 1.7.31 **Descrição** A plataforma Petlibro Smart Pet Feeder é afetada por um problema de divulgação de informações. Isso permite acesso não autorizado às informações de hardware do dispositivo. Um atacante pode obter números de série dos dispositivos e endereços MAC ao explorar endpoints de API inseguros. O endpoint de API `/device/devicePetRelation/getBoundDevices` é vulnerável, permitindo recuperar informações usando IDs de animais de estimação. Isso possibilita o controle total do dispositivo sem autorização adequada. **Recomendações** Atualize para uma versão posterior à 1.7.31.

**Nome do Software Vulnerável e Versões Afetadas** Plataforma Petlibro Smart Pet Feeder versões até 1.7.31 **Descrição** Existe um problema de controle de acesso na Plataforma Petlibro Smart Pet Feeder que permite que usuários autorizados visualizem dados pertencentes a outros usuários. Isso ocorre devido à falta de uma verificação adequada de propriedade. Um atacante pode enviar solicitações ao endpoint da API `/member/pet/detailV2` com IDs de pets arbitrários para obter informações sensíveis, incluindo detalhes do pet, IDs de membros e URLs de avatar, sem autorização. A variável `pet ID` é usada na solicitação para acessar os dados. **Recomendações** Versões anteriores à 1.7.31 devem ser atualizadas.