FICHE CVE

CVE-2025-14317

Publiée le 2026-01-14 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

L'application mobile Crazy Bubble Tea pour Android et iOS présente une faille qui permet à tout utilisateur connecté d'accéder aux informations personnelles d'autres clients. Un attaquant peut simplement faire défiler les numéros d'identification des invités pour récupérer des données privées, car le serveur ne vérifie pas si le demandeur a l'autorisation de consulter ce compte spécifique. Cette manipulation est facile à exécuter via un réseau et ne nécessite qu'un compte utilisateur standard, sans aucune interaction supplémentaire de la part des victimes.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-359

Publiée2026-01-14

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

In Crazy Bubble Tea mobile application authenticated attacker can obtain personal information about other users by enumerating a `loyaltyGuestId` parameter. Server does not verify the permissions required to obtain the data. This issue was fixed in version 915 (Android) and 7.4.1 (iOS).