CVE-2026-102670: Joyland AI разрешает незашифрованный HTTP-трафик на Android
В приложении Joyland.ai обнаружена уязвимость, связанная с явным разрешением передачи данных по незашифрованному протоколу HTTP на Android 9 и выше. Проблема касается пользователей мобильного приложения и создаёт риск перехвата трафика. Уязвимости присвоен средний уровень опасности (CVSS 5.3).
Подробности
Уязвимость затрагивает приложение Joyland.ai. Согласно описанию, приложение явно разрешает передачу трафика в открытом виде по протоколу HTTP на устройствах под управлением Android 9 и выше. Начиная с Android 9 (API 28), платформа по умолчанию блокирует cleartext-трафик (незашифрованные HTTP-соединения), однако разработчики могут переопределить это поведение через конфигурацию сетевой безопасности приложения. Именно такое ослабление защиты и реализовано в Joyland AI. Тип уязвимости — передача конфиденциальных данных в открытом виде (cleartext transmission). Уровень опасности по шкале CVSS составляет 5.3, что соответствует средней степени критичности. Это означает, что эксплуатация требует определённых условий (например, нахождения злоумышленника в той же сети), но потенциальный ущерб для конфиденциальности пользователей остаётся значимым. Основной риск заключается в том, что любой трафик, передаваемый приложением по HTTP, может быть перехвачен и прочитан третьими лицами. В сценариях атак типа «человек посередине» (MITM) злоумышленник, находящийся в той же сети Wi-Fi, способен получить доступ к передаваемым данным: учётным данным, токенам сессии, содержимому запросов и другой чувствительной информации. Особенно опасна такая ситуация при использовании общедоступных сетей — в кафе, аэропортах, отелях и торговых центрах.Что делать
На момент публикации записи CVE информация об официальном патче от разработчика не приводится. Пользователям рекомендуется: - Проверить наличие обновлений приложения Joyland AI в Google Play и установить их, если они доступны; - По возможности воздержаться от использования приложения в общедоступных и недоверенных Wi-Fi-сетях; - При необходимости работы с приложением применять доверенные VPN-сервисы, обеспечивающие шифрование канала связи; - С осторожностью относиться к вводу персональных и платёжных данных в приложении до выпуска исправления. Разработчикам, в свою очередь, следует пересмотреть конфигурацию сетевой безопасности (network security config), отказаться от явного разрешения cleartext-трафика и перевести все соединения на HTTPS. Итог: CVE-2026-102670 — показательный пример того, как ослабление стандартных механизмов защиты Android может свести на нет усилия платформы по обеспечению безопасности. Уязвимость имеет средний уровень критичности, но требует внимания как со стороны пользователей, так и со стороны разработчика Joyland AI. До выпуска официального исправления рекомендуется ограничить использование приложения в недоверенных сетях и применять дополнительные средства защиты трафика.Источник: CVE Project (cvelistV5)