Meesho Android应用SharedPreferences明文存储敏感用户数据漏洞

漏洞概述 Meesho Android 应用程序（ ）存在敏感用户数据通过不安全的 SharedPreferences 存储暴露的问题。动态分析显示，个人身份信息（PII）如电话号码、电子邮件地址、全名、用户 ID 以及详细会话数据以明文形式存储在 SharedPreferences 中。 影响范围 受影响的应用程序：Meesho - Resell & Earn 包名： 平台：Android 漏洞类型：敏感信息的不安全存储 组件：SharedPreferences 受影响的键： , , 等 安全影响 具有物理访问权限的攻击者可以： 提取完整的用户身份信息（电话号码、电子邮件地址、全名、用户 ID） 访问详细的用户行为和设备配置文件数据 检索会话和认证相关信息 潜在后果包括隐私泄露和身份盗窃、有针对性的网络钓鱼或社会工程学攻击、账户枚举。 攻击要求 对目标 Android 设备的物理访问 Frida 或等效的动态插桩工具 漏洞详情 CWE 分类： - CWE-312: 明文存储敏感信息 - CWE-359: 私人个人信息的暴露 - CWE-922: 敏感信息的不安全存储 CVSS v3.1 评分（估计）：6.2 – 7.1（中-高） 攻击向量：物理 攻击复杂度：低 所需权限：无 用户交互：无 范围：未改变 机密性：高 复现步骤 使用 Frida（动态分析） 1. 将以下脚本保存为 ： 2. 运行 Frida 命令： 3. 正常与应用程序交互（登录、浏览产品、查看账户部分等）。 4. 观察实时日志，显示暴露的 PII 和敏感数据。 根因 敏感 PII 和会话数据以明文形式存储在 SharedPreferences 中 未使用 或 Android Keystore 过度本地持久化用户和分析数据 修复方案 1. 使用 与 （AES256_GCM）。 2. 在 Android Keystore 中存储高敏感数据（令牌、PII）。 3. 最小化不必要的 PII 存储并实施适当的数据脱敏。 4. 审查并限制写入 SharedPreferences 的内容。 严重性评估 严重性：中-高（由于直接暴露 PII） 披露时间线 2026 年 6 月：在安全研究中发现漏洞 2026 年 6 月：报告给 Meesho 安全团队 待定：供应商响应/补丁 待定：分配 CVE 待定：公开披露 概念验证媒体 Frida 脚本： （包含在上述内容中） 屏幕截图和完整日志可按需提供 致谢 研究员：Soyam Arya 别名：honest_corrupt GitHub：https://github.com/honestcorrupt 免责声明 本研究完全在受控测试环境中进行，使用研究人员自己的账户和个人设备。没有访问或存储属于他人的真实用户数据。所有测试均遵循负责任披露原则。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Meesho Android应用SharedPreferences明文存储敏感用户数据漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Meesho Android应用SharedPreferences明文存储敏感用户数据漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！