Panels v1.499版本 - 安全评分 _南明离火移动安全分析平台

中危应用程序已启用明文网络流量

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 Activity (com.fossor.panels.activity.PanelShortcutActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.fossor.panels.activity.ItemShortcutActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.fossor.panels.activity.QuickSearchActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.fossor.panels.activity.ContactListActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.fossor.panels.activity.PanelsActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.fossor.panels.activity.MakeTriggerShortcutActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.fossor.panels.activity.MakePanelShortcutActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Activity (com.fossor.panels.activity.MakeFloatingWidgetShortcutActivity) 未被保护。

MANIFEST

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.fossor.panels.services.LauncherAccessibilityService) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.BIND_ACCESSIBILITY_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (com.fossor.panels.services.NotificationService) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.BIND_NOTIFICATION_LISTENER_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (com.fossor.panels.BootReceiver) 未被保护。

MANIFEST

[android:exported=true]
发现 Broadcast Receiver与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (com.fossor.panels.services.AppService) 未被保护。

MANIFEST

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

中危 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Service (com.google.android.gms.auth.api.signin.RevocationBoundService) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: com.google.android.gms.auth.api.signin.permission.REVOCATION_NOTIFICATION [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。

MANIFEST

Permission: android.permission.DUMP [android:exported=true]
发现一个 Broadcast Receiver被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

中危高优先级的Intent （999） - {1} 个命中

MANIFEST

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

CODE

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
B6/a.java, line(s) 10,107
E0/c.java, line(s) 4,5,54,59
I2/d.java, line(s) 8,68
I2/i.java, line(s) 4,55
I2/k.java, line(s) 6,28
J2/j.java, line(s) 4,5,81
L3/C0897j.java, line(s) 5,6,683,1142,1211
L3/C0977P.java, line(s) 5,6,7,8,78
L3/C1010j.java, line(s) 5,6,846,872,1744,1883,2223,2292
L3/G0.java, line(s) 6,7,70
L3/L1.java, line(s) 9,1247
X0/p.java, line(s) 4,188
a2/b.java, line(s) 16,139,151

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

CODE

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
E4/b.java, line(s) 59
F4/C0047f0.java, line(s) 43
F4/C0067f0.java, line(s) 43
Q/AbstractC1083a.java, line(s) 17
Q/AbstractC1216a.java, line(s) 17
R6/h.java, line(s) 84
i1/C0807c.java, line(s) 44
i1/C0915c.java, line(s) 45

中危应用程序使用不安全的随机数生成器

CODE

应用程序使用不安全的随机数生成器
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
H2/C0798a.java, line(s) 13
H2/C0888a.java, line(s) 17
J6/AbstractC0944a.java, line(s) 3
J6/C0945b.java, line(s) 4
J6/a.java, line(s) 3
J6/b.java, line(s) 4
L3/R1.java, line(s) 35
Q1/C1098b.java, line(s) 30
Q1/C1231b.java, line(s) 44
com/fossor/panels/settings/view/DonateBackgroundView.java, line(s) 13
f6/c.java, line(s) 6
k6/C0957a.java, line(s) 5
k6/a.java, line(s) 4

中危 SHA-1是已知存在哈希冲突的弱哈希

CODE

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
C4/i.java, line(s) 104
x4/b.java, line(s) 44

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

CODE

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
H2/C0798a.java, line(s) 84
H2/C0888a.java, line(s) 89
com/yalantis/ucrop/util/FileUtils.java, line(s) 70

中危 MD5是已知存在哈希冲突的弱哈希

CODE

MD5是已知存在哈希冲突的弱哈希
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
L3/R1.java, line(s) 298

中危应用程序创建临时文件。敏感信息永远不应该被写进临时文件

CODE

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
U2/m.java, line(s) 310

中危不安全的Web视图实现。可能存在WebView任意代码执行漏洞

CODE

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
E6/l.java, line(s) 52,49

中危应用程序包含隐私跟踪程序

TRACKERS

此应用程序有多个4隐私跟踪程序。跟踪器可以跟踪设备或用户，是终端用户的隐私问题。

中危此应用可能包含硬编码机密信息

SECRETS

从应用程序中识别出以下机密确保这些不是机密或私人信息
AdMob广告平台的=> "com.google.android.gms.ads.APPLICATION_ID" : "ca-app-pub-2446000928070966~7981393579"
"banner_ad_api_id" : "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"
"com.google.firebase.crashlytics.mapping_file_id" : "ab1fb17ab1884c6e88fde57253b68341"
"firebase_database_url" : "https://panels-fossor.firebaseio.com"
"google_api_key" : "AIzaSyCdi6K7EUCfs4fNhpMu18tYO-I6OTQOvaQ"
"google_app_id" : "1:181019536852:android:f9c89c4dd01bd64dcfba41"
"google_crash_reporting_api_key" : "AIzaSyCdi6K7EUCfs4fNhpMu18tYO-I6OTQOvaQ"
"vector_api" : "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"
MIIB+TCCAWKgAwIBAgIEUXgWbzANBgkqhkiG9w0BAQUFADBAMQwwCgYDVQQGEwM5NzIxFjAUBgNV
nMTlaGA8yMTEzMDMzMTE3MjkxOVowQDEMMAoGA1UEBhMDOTcyMRYwFAYDVQQKEw1Gb3Nzb3IgY29k
n19+RjuJsX3j9KkEKofSqgF5Au30pqYDvSZogpg1cy74Qmd5AckqIrQaqbslkGrKYxoua3dqQcFTB
8ae902668431a82c7990e32d2f226e86
nKUEeAwj0aIoB88l4KJYp4vR4Wy0scl7wPfr4fkT7vNo2PCdWZonFq2/vFJlTVmYhVvLB8uk=
eJzLTdUrT80szijVS60oyC9OTdFzhdCOBQU5mcmJJZn5eQADNg42
nBAoTDUZvc3NvciBjb2RpbmcxGDAWBgNVBAMTD1RpbXVyIFRhbGliYXlldjAgFw0xMzA0MjQxNzI5
eJxLzs/Vy83MKy3Oz0tNLCjQ88jPz3YsKMjJTE4syczPAwDDYwxQ
470fa2b4ae81cd56ecbcda9735803434cec591fa
nhRvUsEIq8gqUrRG3iN4gcGuh472PUB5XMznKV3uDOsPdhPcLU14jnOS86cFctjpsQ15ORWNcyV+j
nybonJwJOyUH4Uv9cqkIRAgMBAAEwDQYJKoZIhvcNAQEFBQADgYEAVjds1usNQC5bmczYvQZJ5752
naW5nMRgwFgYDVQQDEw9UaW11ciBUYWxpYmF5ZXYwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGB
eJwLycgsVkgsKFAAUnn5JQo5mcmpecWpKYoAdCYI7w==
nAImLaTxcYoxh0RyIN6kO9E6Awi8yLhZhIzPwWLS1A5i440nACBqraABHbeSktpv8ct3rTxXAb/xL
eJxLzs/VSypN18vJT0zRCyjKr6h0LCjIyUxOLMnMzwMAo58LPg==
c75e63a2472c686d57b06733cd4f2da2
eJzLK9DLTcxLTE8t0nMrTc4OzkzPAwBHZwcw
eJxLzs/VS8svLs4v0itIzEvNKdZLyszJycxL13OC0C6JJYnB+aVFyakAbNMQpA==
c103703e120ae8cc73c9248622f3cd1e

信息应用程序记录日志信息,不得记录敏感信息

CODE

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
A/AbstractC0164a.java, line(s) 288,293,298,532,519,537
A/AbstractC0247a.java, line(s) 296,301,306,606,593,611
A/b.java, line(s) 153,155,159
A/c.java, line(s) 42,68,77
A/h.java, line(s) 55
A/i.java, line(s) 101,103,129
A/j.java, line(s) 224,307,331,348
A/l.java, line(s) 454,514,517
A/p.java, line(s) 522,971,1311,1316,1323,1418,1420,1212,595,601,740,1062,1115,1141
A/w.java, line(s) 46
B2/C0264b.java, line(s) 50,39
B2/C0347b.java, line(s) 50,39
B2/s.java, line(s) 50,215,208,49,201,211,214,202,212
B4/b.java, line(s) 10,9
C4/C.java, line(s) 24,31,37,23,30,36
C4/E.java, line(s) 48,49
C4/i.java, line(s) 37,108
C4/l.java, line(s) 29
C4/o.java, line(s) 38,45,46,54
C4/q.java, line(s) 108,140,303,324,397,346,370,107,139,161,302,323,336,341,372,386,396,162,337,342,387,104,114,333,375
C4/s.java, line(s) 62,70,34,61,65,35,66,80
C4/u.java, line(s) 49,50,42
C4/w.java, line(s) 77,95,73,100,103,105,121,65,76,94,66,82,119
C4/y.java, line(s) 39,54,69,75,82,87,28,32,59,38,53,68,74,81,86
C4/z.java, line(s) 90,89
D0/a.java, line(s) 80
E/AbstractC0643h.java, line(s) 117,124
E/AbstractC0726h.java, line(s) 118,125
E/c.java, line(s) 53
E/e.java, line(s) 31
E/w.java, line(s) 52,84,90,114,223,233,255,263,49,83,89,113,222,232,254,262,67,93,127,212
E0/g.java, line(s) 42,152
E3/C0675e.java, line(s) 110
E3/C0758e.java, line(s) 116
E4/e.java, line(s) 31,59
E4/h.java, line(s) 142,169,77,83,141,168,55,68,106,148,198
E4/n.java, line(s) 34,62
F0/a.java, line(s) 61
F0/b.java, line(s) 128
F0/g.java, line(s) 176,182,246,318,333,353,360,517,563,583,597,631,649,704,745,748,832,845,849,861,871,882,889,984,75,220,225,492,805,809,813,919,927
F4/C0741r.java, line(s) 27,41,28,42
F4/C0824r.java, line(s) 27,41,28,42
F4/u0.java, line(s) 800
G5/C0764c.java, line(s) 29
G5/C0846b.java, line(s) 59,85
G5/C0847c.java, line(s) 29
G5/C0848d.java, line(s) 127,150,111
G5/C0851g.java, line(s) 30
H/AbstractActivityC0793k.java, line(s) 418,256,265
H/AbstractActivityC0883k.java, line(s) 419,257,266
H/LayoutInflaterFactory2C0772C.java, line(s) 925,927,929,506,564,567
H/LayoutInflaterFactory2C0862C.java, line(s) 1280,1970,1972,1974,1107,1116,1126,1135,1142,1154,1163,666,765,768,1388,1399,1840
H/b.java, line(s) 59
H/r.java, line(s) 43
H/u.java, line(s) 627,628
H/z.java, line(s) 65,82,112
H0/c.java, line(s) 25,24
I/e.java, line(s) 43,48
I/f.java, line(s) 30
I/g.java, line(s) 57
I/h.java, line(s) 39
I/i.java, line(s) 54,112
I/k.java, line(s) 43,97,111,133,149
I2/C0816f.java, line(s) 30
I2/C0924f.java, line(s) 30
I2/d.java, line(s) 99,98
I3/d.java, line(s) 101,135
J0/o.java, line(s) 498
J3/a.java, line(s) 20
K3/C0844a.java, line(s) 28,41
K3/C0956a.java, line(s) 28,41
L3/C0853E.java, line(s) 107,113,105
L3/C0868U.java, line(s) 174
L3/C0966E.java, line(s) 110,116,108
L3/C0981U.java, line(s) 174
L3/RunnableC0929t1.java, line(s) 49
L3/RunnableC1042t1.java, line(s) 79
L3/T1.java, line(s) 313,316
L3/e.java, line(s) 242,241
L3/g.java, line(s) 117
M/ViewOnKeyListenerC1068e.java, line(s) 424
M/h.java, line(s) 22
N/C0989b0.java, line(s) 89,98,191
N/C1021s.java, line(s) 61
N/C1025u.java, line(s) 178
N/C1036z0.java, line(s) 238,81,86,221
N/C1105b0.java, line(s) 89,98,191
N/C1137s.java, line(s) 61
N/C1141u.java, line(s) 223
N/C1152z0.java, line(s) 238,81,86,221
N/DialogInterfaceOnClickListenerC0981G.java, line(s) 60,65,70,75
N/DialogInterfaceOnClickListenerC1097G.java, line(s) 60,65,70,75
N/E0.java, line(s) 20
N/T0.java, line(s) 92,115,214,228
N/U0.java, line(s) 35
N/X.java, line(s) 20
N/c.java, line(s) 124
N/h1.java, line(s) 125,196
N0/C1040d.java, line(s) 28
N0/C1156d.java, line(s) 28
N0/k.java, line(s) 147,510,146,485,749,823,832,883,890,897
O0/C1059b.java, line(s) 92,97,104,108,123,131
O0/C1182b.java, line(s) 92,97,104,108,123,131
O2/a.java, line(s) 137,144
Q/AbstractC1089g.java, line(s) 43
Q/AbstractC1222g.java, line(s) 43
Q/C0126b.java, line(s) 82
Q/C0139o.java, line(s) 32,45,91,148,191,208,232
Q/C0158b.java, line(s) 83
Q/C0171o.java, line(s) 32,45,91,148,191,208,232
Q/N.java, line(s) 201,182,200
Q/O.java, line(s) 20,31
Q/a0.java, line(s) 32,44,51,60
Q/e0.java, line(s) 76,93,67
Q1/h.java, line(s) 682,681
Q1/s.java, line(s) 453,455
Q4/b.java, line(s) 156,491
R0/AbstractC1151a.java, line(s) 40,49,56,65,41,50,57,66
R0/AbstractC1284a.java, line(s) 40,49,56,65,41,50,57,66
R1/AbstractC1152a.java, line(s) 195
R1/AbstractC1285a.java, line(s) 201
R2/d.java, line(s) 35,39,41
R2/e.java, line(s) 34
R4/AbstractC1289b.java, line(s) 229,532
R4/C1158d.java, line(s) 21
R4/C1160f.java, line(s) 229,247,74,78,84,87,154
R4/C1291d.java, line(s) 21
R4/C1293f.java, line(s) 229,247,74,78,84,87,154
S0/e.java, line(s) 19
S2/e.java, line(s) 55,106,113
S2/f.java, line(s) 29
S2/g.java, line(s) 33,54
S2/h.java, line(s) 216,218,107,140,144,213,41,54
S2/j.java, line(s) 28
S2/m.java, line(s) 60
S2/p.java, line(s) 66,70
T/j.java, line(s) 18,17
T1/C1203a.java, line(s) 60
T1/C1217o.java, line(s) 22,26
T1/C1342a.java, line(s) 60
T1/C1356o.java, line(s) 23,27
T3/d.java, line(s) 79,102,78,101
U2/C0186e.java, line(s) 285,515
U2/HandlerC0153d.java, line(s) 17
U2/HandlerC0185d.java, line(s) 17
U2/m.java, line(s) 434,624,625,198,349
U2/p.java, line(s) 245,316
U2/x.java, line(s) 82,86
U2/y.java, line(s) 24,33
U3/f.java, line(s) 28,36,37,42,43
U3/k.java, line(s) 49,99
W0/AbstractC1436e.java, line(s) 781,790
W4/C1297a.java, line(s) 180,209
W4/C1302f.java, line(s) 77
W4/C1449a.java, line(s) 180,209
W4/C1454f.java, line(s) 77
W4/b.java, line(s) 36
W4/d.java, line(s) 139,313
X/C1320m.java, line(s) 63
X/C1472m.java, line(s) 63
X0/f.java, line(s) 910,922,909,933,934,956,965
Y0/C1331A.java, line(s) 149,120
Y0/C1495A.java, line(s) 149,120
Y0/L.java, line(s) 153
Y0/W.java, line(s) 47
Y0/b0.java, line(s) 166
Z0/l.java, line(s) 192,313,315
Z0/n.java, line(s) 29
Z0/p.java, line(s) 73,121
Z0/q.java, line(s) 114,129
Z0/t.java, line(s) 126
Z1/c.java, line(s) 72
Z2/c.java, line(s) 182,51,181,175
a2/b.java, line(s) 104,115,114,193,194,230,231,290,403
a3/b.java, line(s) 336,343,335,342,101
bin/mt/signature/KillerApplication.java, line(s) 155,238
c2/ViewOnTouchListenerC0302E.java, line(s) 34,36
c2/ViewOnTouchListenerC0385E.java, line(s) 34,36
c3/d.java, line(s) 55,61,124,149,119,58
c5/c.java, line(s) 206,214,609,622,625,608
com/fossor/panels/activity/SplitScreenActivity.java, line(s) 26
com/fossor/panels/billing/BillingDataSource.java, line(s) 170,375,448,457,477,483,138,155,166,233,243,251,327,403,409,419,446,471,407,425,444,450,143,395,428
com/fossor/panels/services/AppService.java, line(s) 286
com/pairip/licensecheck/LicenseActivity.java, line(s) 93,71
com/pairip/licensecheck/LicenseClient.java, line(s) 77,90,121,138,168,196,187,112
com/thebluealliance/spectrum/SpectrumPalette.java, line(s) 284
com/yalantis/ucrop/UCropActivity.java, line(s) 569
com/yalantis/ucrop/task/BitmapLoadTask.java, line(s) 50,94,151,157,166,173,199,202
com/yalantis/ucrop/util/BitmapLoadUtils.java, line(s) 52,100,110
com/yalantis/ucrop/util/EglUtils.java, line(s) 75
com/yalantis/ucrop/util/FileUtils.java, line(s) 78
com/yalantis/ucrop/util/ImageHeaderParser.java, line(s) 137,172,182,196,208,213,222,231,245,261,269,274,283,286,291,171,181,193,207,212,221,230,244,260,264,273,282,285,290
com/yalantis/ucrop/view/TransformImageView.java, line(s) 197,227,245
d4/a.java, line(s) 44,43
d4/d.java, line(s) 34,46,33,45
e5/A.java, line(s) 21
e5/C0694m.java, line(s) 18,25
e5/C0696o.java, line(s) 77
e5/C0776l.java, line(s) 76,89,141,105,96,103
e5/C0777m.java, line(s) 18,25
e5/C0779o.java, line(s) 77
e5/C0787x.java, line(s) 30
e5/E.java, line(s) 56
e5/Q.java, line(s) 59,68,58
e5/S.java, line(s) 45,37
e5/U.java, line(s) 59,71,87,77
e5/V.java, line(s) 45,61,62,105,108
f6/h.java, line(s) 58,214,154
g2/c.java, line(s) 58
g4/c.java, line(s) 58,62
i4/a.java, line(s) 124
i4/c.java, line(s) 211,243,367,429,216,81,210,242,366,428,82,107,388
j4/d.java, line(s) 75,74
l/h.java, line(s) 88,139,151,161
l/i.java, line(s) 168
l1/a.java, line(s) 48
m2/k.java, line(s) 232,258,230,169
q3/d.java, line(s) 44
u/C1238c.java, line(s) 249
u/C1390c.java, line(s) 408
u0/i.java, line(s) 341,344,417,285,295,651,286,296,652
u1/C1246d.java, line(s) 51
u1/C1398d.java, line(s) 51
u1/m.java, line(s) 65
u1/t.java, line(s) 53,54
w/d.java, line(s) 205
w2/C1293a.java, line(s) 9
w2/C1445a.java, line(s) 9
x4/b.java, line(s) 37,48
y/e.java, line(s) 33,35
y/j.java, line(s) 33,35
y/o.java, line(s) 32,34
y/p.java, line(s) 126
y2/a.java, line(s) 70,89
y4/C1368a.java, line(s) 55,54,59
y4/C1532a.java, line(s) 55,54,59
y4/c.java, line(s) 83,84
z/C1382B.java, line(s) 90,92,269,336,563,566,611,204
z/C1385E.java, line(s) 124,128,136,138
z/C1389d.java, line(s) 256
z/C1391f.java, line(s) 228,411
z/C1392g.java, line(s) 29,115,117
z/C1394i.java, line(s) 120,125
z/C1557B.java, line(s) 91,93,270,337,564,567,612,205
z/C1560E.java, line(s) 125,129,137,139
z/C1564d.java, line(s) 256
z/C1566f.java, line(s) 228,411
z/C1567g.java, line(s) 29,115,117
z/C1569i.java, line(s) 120,125
z/k.java, line(s) 143,365
z/m.java, line(s) 125,204,212,260,262,266
z/n.java, line(s) 105,112
z/z.java, line(s) 44,70
z4/a.java, line(s) 40,41
z4/c.java, line(s) 84,79,94,100

信息此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

CODE

此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04b-Mobile-App-Security-Testing.md#clipboard

Files:
N0/k.java, line(s) 23,543
X0/f.java, line(s) 16,561
c5/c.java, line(s) 19,382
p0/m.java, line(s) 4,37

信息应用与Firebase数据库通信

FIREBASE

该应用与位于 https://panels-fossor.firebaseio.com 的 Firebase 数据库进行通信

安全此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

CODE

此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05g-Testing-Network-Communication.md#testing-custom-certificate-stores-and-certificate-pinning-mstg-network-4

Files:
I6/e.java, line(s) 50,49,48
I6/h.java, line(s) 78,68,77,85,76,76
I6/m.java, line(s) 50,49,48,48
I6/n.java, line(s) 96,84,95,94,94

安全此应用程序可能具有Root检测功能

CODE

此应用程序可能具有Root检测功能
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
C4/i.java, line(s) 95,95,96
T3/f.java, line(s) 54

安全 Firebase远程配置已禁用

FIREBASE

Firebase远程配置URL （ https://firebaseremoteconfig.googleapis.com/v1/projects/181019536852/namespaces/firebase:fetch?key=AIzaSyCdi6K7EUCfs4fNhpMu18tYO-I6OTQOvaQ ） 已禁用。响应内容如下所示：

{
    "state": "NO_TEMPLATE"
}

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。

DOMAINS

{'ip': '220.181.174.97', 'country_short': 'CN', 'country_long': '中国', 'region': '北京', 'city': '北京', 'latitude': '39.907501', 'longitude': '116.397102'}

安全分析报告： Panels v1.499

安全分数

安全分数 56/100

风险评级

等级

严重性分布 (%)

隐私风险

用户/设备跟踪器

调研结果

中危 应用程序已启用明文网络流量

中危 Activity (com.fossor.panels.activity.PanelShortcutActivity) 未被保护。

中危 Activity (com.fossor.panels.activity.ItemShortcutActivity) 未被保护。

中危 Activity (com.fossor.panels.activity.QuickSearchActivity) 未被保护。

中危 Activity (com.fossor.panels.activity.ContactListActivity) 未被保护。

中危 Activity (com.fossor.panels.activity.PanelsActivity) 未被保护。

中危 Activity (com.fossor.panels.activity.MakeTriggerShortcutActivity) 未被保护。

中危 Activity (com.fossor.panels.activity.MakePanelShortcutActivity) 未被保护。

中危 Activity (com.fossor.panels.activity.MakeFloatingWidgetShortcutActivity) 未被保护。

中危 Service (com.fossor.panels.services.LauncherAccessibilityService) 受权限保护, 但是应该检查权限的保护级别。

中危 Service (com.fossor.panels.services.NotificationService) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (com.fossor.panels.BootReceiver) 未被保护。

中危 Service (com.fossor.panels.services.AppService) 未被保护。

中危 Service (androidx.work.impl.background.systemjob.SystemJobService) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (androidx.work.impl.diagnostics.DiagnosticsReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 Service (com.google.android.gms.auth.api.signin.RevocationBoundService) 受权限保护, 但是应该检查权限的保护级别。

中危 Broadcast Receiver (androidx.profileinstaller.ProfileInstallReceiver) 受权限保护, 但是应该检查权限的保护级别。

中危 高优先级的Intent （999） - {1} 个命中

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危 文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危 应用程序使用不安全的随机数生成器

中危 SHA-1是已知存在哈希冲突的弱哈希

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危 MD5是已知存在哈希冲突的弱哈希

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件

中危 不安全的Web视图实现。可能存在WebView任意代码执行漏洞

中危 应用程序包含隐私跟踪程序

中危 此应用可能包含硬编码机密信息

信息 应用程序记录日志信息,不得记录敏感信息

信息 此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

信息 应用与Firebase数据库通信

安全 此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

安全 此应用程序可能具有Root检测功能

安全 Firebase远程配置已禁用

关注 应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。

安全评分: ( Panels 1.499)

中危应用程序已启用明文网络流量

中危高优先级的Intent （999） - {1} 个命中

中危应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库

中危文件可能包含硬编码的敏感信息，如用户名、密码、密钥等

中危应用程序使用不安全的随机数生成器

中危应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据

中危应用程序创建临时文件。敏感信息永远不应该被写进临时文件

中危不安全的Web视图实现。可能存在WebView任意代码执行漏洞

中危应用程序包含隐私跟踪程序

中危此应用可能包含硬编码机密信息

信息应用程序记录日志信息,不得记录敏感信息

信息此应用程序将数据复制到剪贴板。敏感数据不应复制到剪贴板，因为其他应用程序可以访问它

信息应用与Firebase数据库通信

安全此应用程序使用SSL Pinning 来检测或防止安全通信通道中的MITM攻击

安全此应用程序可能具有Root检测功能

关注应用程序可能与位于OFAC制裁国家 (中国) 的服务器 (app-measurement.com) 通信。