# 研究团队如何通过车企管理后台漏洞远程解锁任意车辆

> 原标题：Unlocking any car from X brand in most of the world

- 来源：Hacker News 首页
- 发布时间：2026-11-09T00:10:50.000Z
- AX AI 日报：https://ai-daily.ax0x.ai/items/gvq5xgoxzbn1hq7res20iok3k
- 原文：https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/

## 摘要

安全研究者 Sam Curry 与作者通过反编译某车企 App 的 APK，发现其管理后台 admintool 子域仅靠 JavaScript 包中硬编码的 API key 即可访问，可凭车牌号经 VIN 查到车主邮箱等 PII。他们进一步在 OpenIDM 实例的厂商 JavaScript 包中发现内嵌管理员凭据，而拿到用户 auth token 后即可远程解锁、鸣笛、启动车辆。