Jacob Olcott

O servidor API do rastreador GPS MiCODUS MV720 possui um mecanismo de autenticação que permite que os dispositivos utilizem uma senha mestra codificada. Isso pode permitir que um invasor envie comandos SMS diretamente para o rastreador GPS, como se eles fossem provenientes do número de celular do proprietário do GPS.

A vulnerabilidade permite que comandos GPS baseados em SMS sejam executados pelo rastreador GPS MiCODUS MV720 sem a necessidade de autenticação.

O servidor web principal do rastreador GPS MiCODUS MV720 apresenta uma vulnerabilidade de cross-site scripting refletido. Isso poderia permitir que um invasor assumisse o controle ao induzir um usuário a fazer uma solicitação.

O servidor web principal do rastreador GPS MiCODUS MV720 apresenta uma vulnerabilidade relacionada a referências diretas a objetos não seguras autenticadas. Essa vulnerabilidade está relacionada a um endpoint e ao parâmetro POST `Device ID`, que aceita IDs de dispositivo arbitrárias.

O servidor web principal do rastreador GPS MiCODUS MV720 apresenta uma vulnerabilidade de referência direta a objetos não segura em contexto autenticado. Essa vulnerabilidade está relacionada ao endpoint e ao parâmetro `device IDs`, que aceitam `device IDs` arbitrários sem verificação adicional.