Wątek: Śmieciowy software pozwala na zdalne operowanie każdą RAV4 5 gen :))))

[SNCF]

Otwieranie drzwi, włączanie silnika. Javascript, crudowe endpointy, źle skonfigurowany nginx, zdekompilowana apka mobilna, trochę pomocy Sol Ultra. 

https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/



https://shubs.io/content/media/2026/11/vidredacted.mp4

Wątek na HackerNews:
https://news.ycombinator.com/item?id=50419215

Niestety, ale Japończycy tak piszą software. Jak nie ma jasnych wytycznych i norm, to jadą po linii najmniejszego oporu ¯\(ツ)/¯

Plate -> VIN -> Subscriber GUID -> OpenIDM admin credentials in JS vendor bundle -> Path traversal to bypass the WAF -> MFA bypass via ROPC flow -> Minting a consumer app token -> Remote command API.

And magic. The doors unlocked.

 

[Konrad62]

Wiadomo czy to dotyczy Toyoty? Nie podano nazw producentów w obu wpisach. Jest na to duża szansa drogą eliminacji ale jednak dobrze by to potwierdzić.

Edit: Wygląda na to że zostało to jakoś naprawione, nie wybiegał bym z tym jakoś do przodu poza typowymi problemami w IT. Z jakiegoś powodu przenieśli development apki do Polski

[SNCF]

Wiadomo czy to dotyczy Toyoty?

https://shubs.io/content/media/2026/11/vidredacted.mp4
na nagraniach 5 generacja RAV4

[Konrad62]

Ok, nie oglądałem filmiku.

[Markid]

...
Niestety, ale Japończycy tak piszą software. Jak nie ma jasnych wytycznych i norm, to jadą po linii najmniejszego oporu ¯\(ツ)/¯
...

Z mojego doświadczenia - nie tylko Japończycy tak piszą, bo napięte terminy, to co pisałeś  - niedoprecyzowane założenia, niedotestowane wersje puszczane na rynek, technologie zmieniające się szybciej niż możliwości szkolenia programistów, oszczędności, itp.  itd.

Dlatego w systemach są dziury i to od dawna.

Wysłane z mojego SM-A566B przy użyciu Tapatalka

[ledziu]

...
Niestety, ale Japończycy tak piszą software. Jak nie ma jasnych wytycznych i norm, to jadą po linii najmniejszego oporu ¯\(ツ)/¯
...

Z mojego doświadczenia - nie tylko Japończycy tak piszą, bo napięte terminy, to co pisałeś  - niedoprecyzowane założenia, niedotestowane wersje puszczane na rynek, technologie zmieniające się szybciej niż możliwości szkolenia programistów, oszczędności, itp.  itd.

Dlatego w systemach są dziury i to od dawna.

Wysłane z mojego SM-A566B przy użyciu Tapatalka

To jest element tzw. dezimformacji której autor  tematu stosując proste zabiegi chce osiągnąć jskiś cel.

Masz tytuł który ma nakierować na odpowiedni tok myślenia, potem jest wklejony link do bloga Sam-a Curry i niemalże pewność iż nikt na tym się nie pochyli bo tytuł już wszystko wyjaśnia.

Ale jak już się pochylisz to co przeczytasz :

A no haker z zhakował dwie marki uruchamiając je, nie przekazał które ale są domysły że to Toyota/Lex.
Przekazał to info dalej  żeby technicy mogli naprawić to.

Wchodzimy dalej...kim jest ów Pan haker ?

A no jest tzw. pozytywnym hakerem i zajmuje się "bugami" w softwar-ach różnych firm motoryzacyjnych.
To samo zrobił z Kia które uruchomił po numerze rejestracyjnym, Subaru śledził przez Starlinka...a do tego dobrał się do Porsche, Honda, Nissan...itd.

A gdzie pracuje a no pracuje w Tesla bo... dobrał się też Tesli narobił grubej maniany 2019r, hmmm dostał nagrodę z Tesli za odkrycie a teraz pracuje przy zabezpieczeniach tych aut.

Co ciekawe jakoś autorowi krzykliwego tytułu tematu to umknęło  że Tesla filmowała bez wiedzy właściciela ich np.przyrodzenia jak się przechadzali nago po garażu a potem robili z tego użytek pracownicy. Ciekawe jak to wypada przy tym tytule tematu którym zostaliśmy obdarowani

Nie jest to pierwsza dezinformacja na naszym forum która ma niby ośmieszyć markę ale jedna z wielu i jak zawsze prym wiodą te same osoby.


P.s.

Słowo wstępu Sam Curry 

"Zawsze miałem słabość do tej konkretnej marki samochodów. Nasza rodzina miała ich kilka przez lata i służyły nam niesamowicie dobrze. W 2023 roku kupiłem od nich nowego SUV-a z napędem na cztery koła i to był pierwszy raz, kiedy miałem dostęp do ich platformy samochodów połączonych.
"
No i chłopak na Toyota Forum ma przechlapane 

[Markid]

Warto więc podrążyć.
Dzięki kolego Ledziu za info.

Wysłane z mojego SM-A566B przy użyciu Tapatalka