AndroidのデートアプリBaseChat、バージョン9.8.1で複数の脆弱性が発見されました。これらの問題は、ユーザーのプライバシーとデータセキュリティに重大なリスクをもたらします。1つの脆弱性により、攻撃者はバックエンドAPI接続のために自己署名証明書を受け入れることで、TLSセキュリティチェックをバイパスできます。もう1つの懸念は、有料アカウントをRevenueCatサブスクライバーデータベースにマッピングするために、生のMSISDN、つまり電話番号を使用していることです。RevenueCatの公開APIキーがアプリに埋め込まれているため、攻撃者は推測された電話番号を使用してこのデータベースにクエリを実行できます。これにより、アクティビティや購入履歴を含むユーザーメタデータを取得できます。また、このアプリケーションは、本番ビルドで個人識別情報（PII）をログに記録します。具体的には、ストリップされていないデバッグステートメントを通じて、通話中の他の発信者の電話番号を記録します。これらの脆弱性が悪用された場合、アカウント乗っ取り、セッション資格情報の盗難、およびプライベートユーザーデータの漏洩につながる可能性があります。攻撃者は、匿名性を維持されるべき他のユーザーのPIIにもアクセスできます。アプリが他のユーザーの電話番号をクライアントに送信することは、どのような形であれプライバシー侵害と見なされます。BaseChatの開発者には、これらの脆弱性に対処するために連絡が取れませんでした。