CVE-2025-48925

O aplicativo SGNL do TeleMessage calcula a senha em hash no seu celular antes de enviar para autenticação, mas o serviço aceita esse hash como credencial final em vez de validá-lo no servidor. Isso permite que um atacante que intercepte o hash consiga fazer login sem saber sua senha real.

TeleMessage utiliza hash MD5 do lado do cliente para autenticação, aceitando o hash resultante como credencial sem verificação no servidor (CWE-836: uso de algoritmo criptográfico quebrado ou de risco). Um atacante pode interceptar o hash na rede ou extraí-lo de um cliente comprometido e reproduzi-lo para autenticação não autorizada, contornando a necessidade de descobrir a senha original.