成人性玩具制造商Lovense出现高危安全漏洞可被远程控制性玩具造成伤害

月灵银羽 · 发表于 2025-7-30 23:24

成人性玩具制造商 Lovense 出现高危安全漏洞，借助漏洞可以接管用户账户并远程控制性玩具以及窃取私密信息。Lovense 来自新加坡，在全球拥有 2000 万名用户，其性玩具可以通过 Lovense 配套应用进行控制，而借助漏洞可以远程控制用户账户和绑定的性玩具。查看全文：https://ourl.co/110004

来自新加坡的成人性玩具制造商 Lovense 在全球拥有超过 2000 万名用户，不过日前该公司因为安全漏洞修复时间问题与安全研究人员发生争议，安全研究人员已经将两枚高危漏洞完全公开。

名为 BobHacker 的安全研究人员在 3 月份发现 Lovense 的系统存在安全漏洞，在通过 HackerOne 平台反馈漏洞后获得 3000 美元的奖励，但 Lovense 要求安全研究人员提供 14 个月的时间来修复漏洞，通常情况下安全研究人员预留的漏洞修复时间是 90 天。

研究人员并不认同制造商需要长达 14 个月才能修复漏洞的说法，因此在漏洞提交满 90 天后，也就是在 2025 年 7 月 28 日研究人员将两个高危级别的安全漏洞细节完全公开。

泄露用户的真实邮件地址：

研究人员在使用 Lovense 应用程序时发现其中存在的安全漏洞，而且这个安全漏洞相对来说比较低级，任何使用网络分析工具的用户都可以看到与之交互的用户的电子邮件地址(注：不需要添加好友)。

例如研究人员使用 A 账户与其他人使用的 B 账户正在交互，借助网络分析工具抓取流量后可以发现 B 账户的真实电子邮件地址，漏洞发生原因则是 Lovense 将用户名与电子邮件关联，所以即便你起个乱码名字也可能会被其他人发现真实邮箱进而定位到真实身份。

科技网站 TechCrunch 为验证这个漏洞特地创建 Lovense 账户，随后 BobHacker 花费大约 1 分钟就找到了这个账户关联的真实邮箱，研究人员称这是通过脚本自动化执行的，不到 1 秒就可以获取结果。

接管用户账户并控制性玩具：

第二个漏洞是涉及到接管 Lovense 账户的，借助漏洞任何人都可以创建身份验证令牌直接访问特定的 Lovense 账户，不需要密码和其他验证。

研究人员称如果用户使用的性玩具连接到互联网 (使用 Lovense 配套应用连接)，则攻击者可以借助身份验证令牌漏洞直接访问用户账户进而远程控制性玩具，这可能会在真实世界里造成伤害。

BobHacker 强调任何人只需要知道 Lovense 的电子邮件地址就可以接管账户并发起控制，相较于前一个漏洞来说，这个漏洞造成的危害可能会更大。

有其他研究人员提交漏洞被忽略：

BobHacker 还提到这些错误可能在 2023 年 9 月就被其他研究人员发现并提交，但不知道为什么漏洞会被忽略而没有修复。

Lovense 则回应称目前接管账户的令牌安全问题已经修复，至于泄露用户真实电子邮件的漏洞还在修复中，预计会下周推送更新给所有用户用于修复漏洞。Lovense 没有回应为什么之前说要 14 个月才能修复漏洞。

ParadiseMartyr · 发表于 2025-7-30 23:33

夹断

—— 来自鹅球 v3.3.96

无动于衷 · 发表于 2025-7-30 23:46

所以这种玩意联网有个毛用，这不是擎等着别人收集你那玩意的信息

请问有猪扒饭吗 · 发表于 2025-7-30 23:55

这下真是牛子被绑架了

黄昏现白骨 · 发表于 2025-7-31 00:02

要来了给你寸止还是电击

—— 来自 Xiaomi 2410DPN6CC, Android 15, 鹅球 v3.5.99

迪米特里 · 发表于 2025-7-31 00:03

无动于衷发表于 2025-7-30 23:46
所以这种玩意联网有个毛用，这不是擎等着别人收集你那玩意的信息

直播打赏

77BBC · 发表于 2025-7-31 00:07

很多不可描述的游戏都有玩具选项，这下狠狠控制了

—— 来自 S1Fun

方舟售票员 · 发表于 2025-7-31 00:25

想起生活大爆炸，用机器手撸的那一集了

naclken. · 发表于 2025-7-31 00:34

这东西要怎么才能造成伤害？放电吗。

rrtyui · 发表于 2025-7-31 01:01

这个品牌就是专门做打赏联网的
去各个直播网站基本上都是用的这个牌子

星零影 · 发表于 2025-7-31 01:05

innocence？

—— 来自 S1Fun

精钢魔像 · 发表于 2025-7-31 01:32

大钢炮，一整晚，每一晚

terminator1990 · 发表于 2025-7-31 01:37

无动于衷发表于 2025-7-30 23:46
所以这种玩意联网有个毛用，这不是擎等着别人收集你那玩意的信息

“你的射X时间为1分钟，击败了95%的用户”

oyss · 发表于 2025-7-31 02:31

rrtyui 发表于 2025-7-31 01:01
这个品牌就是专门做打赏联网的
去各个直播网站基本上都是用的这个牌子

打赏并不需要联网,

在本地检测直播平台的打赏文本触发就好.

madbird023 · 发表于 2025-7-31 03:11

rrtyui 发表于 2025-7-31 01:01
这个品牌就是专门做打赏联网的
去各个直播网站基本上都是用的这个牌子

那个牌子是ohmibod吧，虽然这家也有同类型产品

烦死了 · 发表于 2025-7-31 04:03

像是攻壳里的情节

罐子 · 发表于 2025-7-31 07:32

等下，这玩意打赏直播是怎么玩的？
送个礼物就动一下，送个火箭猛烈冲击？

—— 来自 Xiaomi 2210132C, Android 15, 鹅球 v3.5.99-alpha

月战老兵铃仙 · 发表于 2025-7-31 08:46

想起来2077里那个大钢炮冒烟的npc了

ww-tsl · 发表于 2025-7-31 08:47

无动于衷发表于 2025-7-30 23:46
所以这种玩意联网有个毛用，这不是擎等着别人收集你那玩意的信息

为什么现在越来越多的冰箱都要联网还要下APP才能用？

大智若愚琪露诺 · 发表于 2025-7-31 08:58

这个是不是可以和karryns prison联动的那个玩具厂

—— 来自 S1Fun

冤枉呐 · 发表于 2025-7-31 09:16

罐子发表于 2025-7-31 07:32
等下，这玩意打赏直播是怎么玩的？
送个礼物就动一下，送个火箭猛烈冲击？

你猜对了

—— 来自 HUAWEI ALN-AL10, Android 12, 鹅球 v3.5.99

tylunas · 发表于 2025-7-31 09:23

这个牌子是st*pchat上用得最多的远程遥控打赏器具了吧，

mandown · 发表于 2025-7-31 09:42

这么危险，是茂厂开发的penisgear？

f.w. · 发表于 2025-7-31 09:46

罐子发表于 2025-7-31 07:32
等下，这玩意打赏直播是怎么玩的？
送个礼物就动一下，送个火箭猛烈冲击？

刷个火箭，你就有n分钟的女主播玩具控制权罢

Marseille · 发表于 2025-7-31 10:12

可谓赛博NTR

是二大爷 · 发表于 2025-7-31 10:38

naclken. 发表于 2025-7-31 00:34
这东西要怎么才能造成伤害？放电吗。

好像有看到过电池爆炸炸掉牛子的，也有突然停电拔不出来的
女用的应该还好吧，顶多变高频？

十个印地男孩 · 发表于 2025-7-31 10:59

这种玩意也敢联网啊，什么赛博大钢炮

KDConan · 发表于 2025-7-31 11:17

胡诌一个黄本标题：
裏垢配信すると現れる怪異

—— 来自 Xiaomi 23013RK75C, Android 15, 鹅球 v3.5.99

		自动登录	找回密码
密码			立即注册

[欢乐] 成人性玩具制造商Lovense出现高危安全漏洞可被远程控制性玩具造成伤害

评分

[欢乐] 成人性玩具制造商Lovense出现高危安全漏洞 可被远程控制性玩具造成伤害

评分

[欢乐] 成人性玩具制造商Lovense出现高危安全漏洞可被远程控制性玩具造成伤害