このモバイルアプリケーションは、すべてのドメインへのクリアテキスト通信を許可するように設定されており、APIサーバーともHTTPを通じて通信しています。その結果、“アップストリーム”に位置する攻撃者が通信を傍受し、その内容を確認したり、リクエストを改ざんしたりすることが可能です。攻撃者がアクティブな認証トークンを含むリクエストを傍受したり、ログイン時に送信されるMD5ハッシュを解読できた場合、ユーザーアカウントを完全に乗っ取る可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。