安全分析报告： 媚🍑桃 v10.07.001

安全分数


安全分数 52/100

风险评级


等级

  1. A
  2. B
  3. C
  4. F

严重性分布 (%)


隐私风险

0

用户/设备跟踪器


调研结果

高危 1
中危 5
信息 1
安全 1
关注 0

高危 如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击 

如果一个应用程序使用WebView.loadDataWithBaseURL方法来加载一个网页到WebView，那么这个应用程序可能会遭受跨站脚本攻击
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-7

Files:
com/reactnativecommunity/webview/RNCWebViewManager.java, line(s) 496,32,33

中危 应用程序已启用明文网络流量 

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

中危 应用程序数据存在被泄露的风险 

未设置[android:allowBackup]标志
这个标志 [android:allowBackup]应该设置为false。默认情况下它被设置为true，允许任何人通过adb备份你的应用程序数据。它允许已经启用了USB调试的用户从设备上复制应用程序数据。

中危 应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据 

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
com/learnium/RNDeviceInfo/RNDeviceModule.java, line(s) 408
com/reactnativecommunity/cameraroll/CameraRollModule.java, line(s) 108,110,113
com/reactnativecommunity/webview/RNCWebViewModule.java, line(s) 479,477

中危 应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库 

应用程序使用SQLite数据库并执行原始SQL查询。原始SQL查询中不受信任的用户输入可能会导致SQL注入。敏感信息也应加密并写入数据库
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x04h-Testing-Code-Quality.md#injection-flaws-mstg-arch-2-and-mstg-platform-2

Files:
com/reactnativecommunity/asyncstorage/AsyncLocalStorageUtil.java, line(s) 6,87
com/reactnativecommunity/asyncstorage/ReactDatabaseSupplier.java, line(s) 4,5,6,44

中危 应用程序创建临时文件。敏感信息永远不应该被写进临时文件 

应用程序创建临时文件。敏感信息永远不应该被写进临时文件


Files:
com/reactnativecommunity/webview/RNCWebViewModule.java, line(s) 479

信息 应用程序记录日志信息,不得记录敏感信息 

应用程序记录日志信息,不得记录敏感信息
https://github.com/OWASP/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#logs

Files:
com/learnium/RNDeviceInfo/RNDeviceModule.java, line(s) 254,334,443,448,564,619,712,900,979,983
com/learnium/RNDeviceInfo/RNInstallReferrerClient.java, line(s) 73,79,84,97,27,43,91
com/learnium/RNDeviceInfo/resolver/DeviceIdResolver.java, line(s) 36,42
com/reactnativecommunity/asyncstorage/AsyncLocalStorageUtil.java, line(s) 79,82,89,91
com/reactnativecommunity/asyncstorage/AsyncStorageExpoMigration.java, line(s) 27,33,39,41,47,49
com/reactnativecommunity/asyncstorage/AsyncStorageModule.java, line(s) 128,170,184,198,216,221,226,264,269,289,320,334,348,362,373,378,394,414,446
com/reactnativecommunity/asyncstorage/ReactDatabaseSupplier.java, line(s) 93,96
com/reactnativecommunity/cameraroll/CameraRollModule.java, line(s) 124,185,197,211,220,528,542,594,612,645,648,685
com/reactnativecommunity/webview/RNCWebViewManager.java, line(s) 852,925,193,206,841,857,884,927
com/reactnativecommunity/webview/RNCWebViewModule.java, line(s) 304,309,333,338,221,245,259
com/rt2zz/reactnativecontacts/ContactsProvider.java, line(s) 372
com/swmansion/rnscreens/ScreenStackHeaderConfigViewManager.java, line(s) 202
com/th3rdwave/safeareacontext/SafeAreaView.java, line(s) 106
fr/bamlab/rnimageresizer/ImageResizer.java, line(s) 145,153
fr/bamlab/rnimageresizer/ImageResizerModule.java, line(s) 72

安全 此应用程序没有隐私跟踪程序 

此应用程序不包括任何用户或设备跟踪器。在静态分析期间没有找到任何跟踪器。

安全评分: ( 媚🍑桃 10.07.001)