FICHE CVE

CVE-2026-103096

Publiée le 2026-10-02 · Dernière modification le 2026-10-02

🇫🇷 EN BREF

Les applications Android utilisant ce logiciel contiennent une clé API codée en dur dans leur package d'installation. Tout utilisateur ayant téléchargé l'application peut facilement extraire cette clé par rétro-ingénierie afin d'obtenir un accès non autorisé aux services backend associés. Comme cela ne nécessite aucun privilège spécial ni interaction de l'utilisateur, la clé est concrètement publique pour toute personne disposant des fichiers de l'application.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Secrets stockés en clair · CWE-312 CWE-540 Identifiants codés en dur · CWE-798

Publiée2026-10-02

Dernière modification2026-10-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

0df08a0e-a200-4957-9bb0-084f562506f9

Description officielle du NVD (en anglais)

API key is hardcoded and retrievable from the application package. Since Android applications can be reverse engineered, embedding sensitive API credentials directly in the client application may allow unauthorized users to extract and misuse the key.