Les applications Android Microsoft 365 permettent à n'importe quelle application de voler des jetons de compte via l'indicateur de débogage restant

The Hacker News - TheHackerNews - 16:56
L'indicateur de débogage a désactivé les vérifications des jetons Microsoft 365 Android, permettant aux applications non fiables d'accéder aux comptes ; correctifs publiés le 12 mai pour réduire les risques

Un indicateur de développement laissé activé dans les versions de production de plusieurs applications Microsoft 365 Android a désactivé la vérification qui limite le partage de jetons de compte aux applications Microsoft de confiance.

Toute autre application sur le même téléphone pourrait demander le jeton de l'utilisateur connecté et l'obtenir, puis lire les e-mails, ouvrir des fichiers, parcourir le calendrier et envoyer des messages en tant qu'utilisateur. Pas de mot de passe, pas d'écran de connexion, pas de demande d'autorisation.

Microsoft ...
[Courte citation de 8% de l'article original]