PT-2026-7854
CVE-2026-26214
·
Publicado
2026-02-12
·
Atualizado
2026-02-20
Descrição por
CVSS 3.1
7.4
AltaMétricasAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do Software Vulnerável e Versões Afetadas
Galaxy FDS Android SDK (XiaoMi/galaxy-fds-sdk-android) versões anteriores à 3.0.9
Descrição
O Galaxy FDS Android SDK desativa a verificação de hostname TLS quando o HTTPS é habilitado por padrão. Especificamente, a função
createHttpClient() dentro da classe GalaxyFDSClientImpl configura o Apache HttpClient com SSLSocketFactory.ALLOW ALL HOSTNAME VERIFIER, aceitando qualquer certificado TLS independentemente de incompatibilidade de hostname. Isso permite que um atacante man-in-the-middle intercepte e modifique comunicações com os endpoints de armazenamento em nuvem Xiaomi FDS, expondo potencialmente credenciais de autenticação, conteúdo de arquivos e respostas de API. O projeto de código aberto XiaoMi/galaxy-fds-sdk-android atingiu o status de end-of-life.Recomendações
Versões anteriores à 3.0.9 são afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Exploit
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾