独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月10日、スマートフォンアプリ「OfferBox」における秘密鍵がハードコードされている問題について「Japan Vulnerability Notes（JVN）」で発表した。楽天グループ株式会社の山手雄太氏が報告を行っている。影響を受けるシステムは以下の通り。
Phormer における XSS の脆弱性 ~ 2007年届出 2024年公表
Androidアプリ「OfferBox」2.0.0から2.3.17まで
iOSアプリ「OfferBox」2.1.7から2.6.14まで
株式会社i-plugが提供するスマートフォンアプリ「OfferBox」には、JWTの秘密鍵がハードコードされており、アプリ内のデータを解析された場合、JWTの秘密鍵が窃取される可能性がある。
なお、当該秘密鍵は2024年5月8日に開発者が無効化しており、対策前のバージョンでも本脆弱性の影響は受けず、ユーザは本脆弱性への自発的行動を取る必要はない。開発者は秘密鍵を内包しない下記のバージョンをリリースしている。
Androidアプリ「OfferBox」3.0.0
iOSアプリ「OfferBox」3.0.0
