В мобильном приложении для знакомств BaseChat версии 9.8.1 обнаружено несколько уязвимостей, представляющих значительный риск для конфиденциальности и безопасности данных пользователей. Одна из уязвимостей позволяет злоумышленникам обходить проверки безопасности TLS, принимая самоподписанные сертификаты для подключений к серверным API. Другая проблема заключается в использовании необработанных MSISDN, или номеров телефонов, для сопоставления платных аккаунтов с базой данных подписчиков RevenueCat. Поскольку в приложении встроен общедоступный ключ API для RevenueCat, злоумышленники могут запрашивать эту базу данных, используя угаданные номера телефонов. Это позволяет им получать метаданные пользователей, включая историю активности и покупок. Приложение также записывает персональные данные (PII) в своей производственной сборке. В частности, оно записывает номера телефонов других звонящих во время голосовых вызовов через необрезанные отладочные операторы. Эти уязвимости, если ими воспользуются, могут привести к захвату аккаунта, краже учетных данных сеанса и раскрытию личных данных пользователей. Злоумышленники также могут получить доступ к персональным данным других пользователей, которые должны оставаться анонимными. Отправка приложением номеров телефонов других пользователей клиенту в любом виде считается нарушением конфиденциальности. Связаться с разработчиками BaseChat для устранения этих уязвимостей не удалось.