Android应用Inventory 1.5.5 Firebase API Key硬编码致数据泄露

根据用户的要求，我需要从提供的网页截图中提取关于漏洞的关键信息，并用简洁的中文markdown格式进行总结。 1. 漏洞概述 (Vulnerability Overview): 标题: Submit #781784: INVENTORY Inventory(app.inventory.toyfactory) 1.5.5 Firebase API Key Exposure 描述: 在Android应用程序 版本 1.5.5 中，发现了一个硬编码的Google Firebase API密钥。攻击者可以提取该密钥并用于匿名身份验证（使用Firebase Identity Toolkit）。一旦创建了匿名用户，生成的ID令牌就可以用来查询关联的Firebase Realtime Database。根据数据库安全规则，这可能导致对敏感用户数据的未授权访问。 来源: 链接指向一个Notion页面，标题涉及Firebase API Key Exposure。 提交者: Konta (ID: 281180) 提交时间: 03/17/2026 02:42 PM (注意：这个日期看起来是未来的，可能是截图中的系统时间设置问题或者是一个模拟/测试环境，但我应该如实记录截图内容，或者指出这是截图显示的时间)。仔细看截图，提交时间写的是 ，这很奇怪，可能是未来的日期或者系统错误。不过描述里写的是 ，这暗示当前时间可能是2026年。不管怎样，我记录截图上的信息。 状态: Public (公开) 2. 影响范围 (Impact/Scope): 应用名称: Inventory (app.inventory.toyfactory) 版本: 1.5.5 平台: Android 具体组件: Firebase API Key (硬编码) 后果: 未授权访问 Firebase Realtime Database 中的敏感用户数据。 3. 修复方案 (Remediation): 截图本身没有直接提供修复代码，但根据漏洞类型（硬编码API Key），标准的修复方案是： 从代码中移除硬编码的API密钥。 通过环境变量或安全配置管理密钥。 更新Firebase安全规则以限制未授权访问。 发布应用更新。 自我修正：用户要求总结“网页截图中的信息”。截图里并没有明确的“修复方案”板块，只有漏洞描述。所以我只能基于描述推断，或者说明截图未提供具体修复代码。不过，通常这类总结需要给出建议。我会基于漏洞描述给出通用的修复建议。 4. POC/利用代码 (POC/Exploit Code): 截图中的“PoC entry”部分包含了一段文本： 。这看起来更像是描述POC的内容，而不是可执行的代码块。 描述中提到了攻击流程：提取密钥 -> 匿名认证 -> 获取ID令牌 -> 查询数据库。没有具体的Python或Shell脚本代码块。 因此，没有需要提取的“代码块”。 5. 最终整理 (Drafting the response): 标题: INVENTORY Inventory(app.inventory.toyfactory) 1.5.5 Firebase API Key Exposure 概述: Android应用 (版本 1.5.5) 存在硬编码的Google Firebase API密钥。攻击者可利用此密钥进行匿名身份验证，进而查询Firebase Realtime Database，可能导致敏感用户数据泄露。 影响范围: 应用: Inventory (app.inventory.toyfactory) 版本: 1.5.5 平台: Android 修复方案: (基于漏洞类型推断) 移除硬编码的API密钥，更新Firebase安全规则以限制未授权访问，并发布应用更新。 POC/利用代码: 截图中未包含具体的可执行代码块，仅描述了利用逻辑（提取密钥 -> 匿名认证 -> 查询数据库）。 Refining the output: 确保语言简洁，符合markdown格式。 漏洞标题: INVENTORY Inventory(app.inventory.toyfactory) 1.5.5 Firebase API Key Exposure 漏洞概述: 在Android应用 (v1.5.5) 中发现硬编码的Google Firebase API密钥。攻击者可提取该密钥，利用Firebase Identity Toolkit进行匿名身份验证，生成ID令牌后查询关联的Firebase Realtime Database。根据数据库安全规则，这可能导致未授权访问敏感用户数据。 影响范围: 应用包名: 应用版本: 1.5.5 受影响组件: Firebase API Key (硬编码在 中) 修复方案: 从应用代码中移除硬编码的API密钥。 审查并更新Firebase Realtime Database的安全规则，防止未授权访问。 发布应用更新以修复此问题。 POC/利用代码: 截图中未提供具体的利用脚本代码，仅描述了利用路径。 看起来没问题。直接输出。 漏洞关键信息总结 漏洞标题： INVENTORY Inventory(app.inventory.toyfactory) 1.5.5 Firebase API Key Exposure 漏洞概述： 在Android应用程序 版本 1.5.5 中，发现了一个硬编码的Google Firebase API密钥。攻击者可以提取该密钥并用于匿名身份验证（使用Firebase Identity Toolkit）。一旦创建了匿名用户，生成的ID令牌就可以用来查询关联的Firebase Realtime Database。根据数据库安全规则，这可能导致对敏感用户数据的未授权访问。 影响范围： 应用名称： Inventory 包名： 版本： 1.5.5 平台： Android 具体组件： 硬编码的 Firebase API Key (位于 中) 修复方案： 从应用代码中移除硬编码的API密钥。 审查并更新Firebase Realtime Database的安全规则，限制未授权访问。 发布应用更新以修复此问题。 POC/利用代码：** 截图中未包含具体的可执行代码块，仅描述了利用逻辑：提取密钥 -> 匿名认证 -> 获取ID令牌 -> 查询数据库。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Android应用Inventory 1.5.5 Firebase API Key硬编码致数据泄露

目标达成感谢每一位支持者 — 我们达成了 100% 目标！