Unlocking any car from X brand in most of the world

安全研究者 Sam Curry 与作者通过反编译某车企 App 的 APK，发现其管理后台 admintool 子域仅靠 JavaScript 包中硬编码的 API key 即可访问，可凭车牌号经 VIN 查到车主邮箱等 PII。他们进一步在 OpenIDM 实例的厂商 JavaScript 包中发现内嵌管理员凭据，而拿到用户 auth token 后即可远程解锁、鸣笛、启动车辆。