CVE-2025-48925
Prioriza la corrección. Ella explotación observada por VulnCheck.
La aplicación SGNL de TeleMessage calcula el hash de la contraseña en tu dispositivo antes de enviarlo para autenticación, pero el servicio acepta este hash como credencial final en lugar de validarlo en el servidor. Esto permite que un atacante que intercepte el hash inicie sesión sin conocer tu contraseña real.
TeleMessage utiliza hash MD5 del lado del cliente para autenticación, aceptando el hash resultante como credencial sin verificación del servidor (CWE-836: uso de algoritmo criptográfico roto o arriesgado). Un atacante puede interceptar el hash en la red o extraerlo de un cliente comprometido y reproducirlo para obtener autenticación no autorizada, omitiendo la necesidad de descubrir la contraseña original.