两大车企联网车辆被曝远程解锁漏洞，因硬编码凭证和MFA绕过

两大车企的联网车辆因后端API安全缺陷，被研究人员远程解锁车门并启动引擎，漏洞涉及硬编码管理员凭证、绕过MFA及暴露用户位置、里程、燃油等信息。研究人员通过反编译App发现测试接口，利用其中的JavaScript代码获取API密钥，结合公开信息关联用户，最终通过伪造令牌实现账户冒用。漏洞已修复，受影响车企使用ForgeRock认证服务，但实施存在严重缺陷。