温德姆酒店App暗藏硬编码密码 客户数据裸奔
报价宝综合消息温德姆酒店App暗藏硬编码密码 客户数据裸奔
全球连锁酒店巨头温德姆（Wyndham）被发现其安卓应用源代码中硬编码了一个密码，任何拿到应用副本的人都能借此访问公司内部客户数据库。安全研究员罗伯特·威金斯（Robert Wiggins）向TechCrunch独家披露了这一漏洞。
该数据库由Salesforce托管，存储着客户姓名、电子邮箱、温德姆会员编号，以及让用户免于重复登录的JWT令牌，还包含部分公司文件。研究员表示库中有数百万条记录，难以准确统计泄露范围——温德姆的奖励会员约有1.29亿人。
威金斯指出，温德姆没有对外受理安全漏洞的渠道，于是请TechCrunch协助通报。就在TechCrunch联系上温德姆安全团队后，这一凭据被迅速吊销，数据库访问通道随即被切断。
温德姆发言人回应称，团队已采取措施解决问题，并称没有证据显示存在未经授权的访问。但当被问及是否有服务器日志可核查此前是否有人访问过、是否计划通知受影响客户或按规定向美国证监会报告时，公司拒绝置评，也不愿说明该密码在应用中存在了多久。
将密码硬编码进公开发布的软件是安全大忌，因为任何拿到应用副本的人都能提取凭据直接访问后台。这是威金斯两周内第二次发现同类漏洞——此前他在Applebee's订餐应用中发现几乎相同的问题，两次发现均借助AI工具扫描反编译代码完成。
编译自 TechCrunch，原标题："Hotel giant Wyndham exposed customer data after app security lapse"
