FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

Lovense 是一家互动性玩具制造商，以生产应用程序控制的性玩具而闻名，其名称包括 Lush、Gush，以及或许最大胆的 Kraken。该公司声称在全球拥有 2000 万客户。

虽然 Lovense 玩具通常用于本地和长距离娱乐，但它们在摄像头模特中也很受欢迎，因为观众可以通过给小费或订阅来远程控制他们的玩具。然而，连接体验也可能暴露他们的 Lovense 用户名，并且由于这个缺陷，可能会泄露他们的私人电子邮件地址。

漏洞详情

该漏洞是由安全研究员 BobDaHacker 发现的，他与研究人员 Eva 和 Rebane 合作对该应用程序进行逆向工程并自动执行攻击。研究人员在四个多月前的 2025 年 3 月 26 日披露了两个漏洞。然而，随后只修复了其中一个漏洞，即严重的帐户劫持漏洞。

Lovense 的漏洞该漏洞源于 Lovense 用于用户之间通信的 XMPP 聊天系统与平台后端之间的交互。"所以，这一切都是从我使用 Lovense 应用时，把某人静音了开始的。就是这样。就把他们静音了，" BobDaHacker 在报告中解释道。"但后来我看到了 API 响应，然后就想……等等，那是电子邮件地址吗？它为什么在那里？经过深入挖掘，我找到了如何将任何用户名转换成他们的电子邮件地址的方法。"

攻击方式

为了利用此漏洞，攻击者使用其凭据向 API 端点发出 POST 请求/api/wear/genGtoken，该请求返回 gtoken（身份验证令牌）和 AES-CBC 加密密钥。然后，攻击者获取任何已知的 Lovense 用户名，并使用检索到的加密密钥对其进行加密。加密的有效载荷将被发送到/app/ajaxCheckEmailOrUserIdRegisted?email={encrypted_username}API 端点。

该服务器响应的数据包含一个虚假的电子邮件地址，研究人员将其转换为 Lovense 的 XMPP 服务器使用的虚假 Jabber ID (JID)。通过将这个假的 JID 添加到他们的 XMPP 联系人列表中并通过 XMPP 发送状态订阅（类似于好友请求），攻击者可以刷新名册（联系人列表），其中现在包括假的 JID 和与目标帐户相关联的真实 JID。

然而问题在于，真正的 JID 是使用用户的实际电子邮件构建的，格式为 [email protected]，这使得攻击者可以提取受害者的电子邮件地址。例如，如果它返回 [email protected]，则 Lovense 帐户的实际电子邮件是 [email protected]。

研究人员证实，使用脚本，每个用户只需不到一秒即可完成整个过程。

漏洞修复情况

这两个问题都是在 2025 年 3 月 26 日报告给 Lovense 的。4 月，在将漏洞提交给 HackerOne 后，Lovense 通知研究人员，电子邮件问题已经已知晓，并将在即将发布的版本中修复。该公司最初淡化了账户劫持漏洞的重要性，但在被告知该漏洞可能允许完全管理员账户访问权限后，Lovense 将其重新归类为严重漏洞。

研究人员因披露这些漏洞总共获得了 3,000 美元的奖励。6月4日，该公司声称这些漏洞已修复，但研究人员证实事实并非如此。Lovense最终于7月修复了账户劫持漏洞，但表示修复电子邮件漏洞大约需要14个月，因为它会破坏与旧版本应用程序的兼容性。

洛文斯告诉研究人员："我们已经启动了一项长期补救计划，大约需要十个月的时间，并且至少还需要四个月的时间才能全面实施完整的解决方案。"我们也评估过一个更快的、一个月修复方案。然而，这需要强制所有用户立即升级，这会中断对旧版本的支持。我们决定放弃这种方法，转而采用更稳定、更人性化的解决方案。

研究人员对这一回应提出了批评，称该公司一再声称问题已经解决，但事实并非如此。BobDaHacker 在报告中写道："你的用户值得更好的服务。别再把旧应用支持置于安全之上。务必切实修复问题，并且在说修复有效之前先进行测试。"

最终，Lovense 表示，他们根据研究人员的建议，于 7 月 3 日部署了一项代理功能，以缓解攻击。然而，即使在强制更新应用程序后，该漏洞仍未得到修复，因此尚不清楚具体修改了哪些内容。

免责声明

1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。

2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。

3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。

本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）