CVE-2026-54377
ŚrednieCVSS 6.5Streszczenie
API chmurowe VitaFit przed 2026-10-30 zawierało podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR), pozwalającą uwierzytelnionym atakującym uzyskać dostęp do danych innego użytkownika przez podanie innego user_id lub profile_id w endpointach takich jak GET /front/profile/{profile_id}/report/. Przewidywalne relacje identyfikatorów i słabość enumeracji kont umożliwiały masowy odczyt adresu e-mail, profilu, raportu składu ciała i historii pomiarów innych kont.
Ocena ryzyka
Narusza poufność danych osobowych i zdrowotnych wielu użytkowników, co może skutkować obowiązkami zgłoszeniowymi i odpowiedzialnością prawną.
Rekomendacja
Zaktualizuj API VitaFit do wersji po 2026-10-30 i wdróż kontrolę autoryzacji obiektowej weryfikującą właściciela zasobu dla każdego profile_id.
Inne podatności w VitaFit cloud API
Zobacz wszystkie- CVE-2026-54383Średnie
VitaFit cloud API przed 2026-10-30 zawierało podatność nadmiernego ujawniania danych, pozwalającą każdemu uwierzytelnionemu użytkownikowi na odpytywanie endpointu GET /front/relation/search/ i pobieranie danych osobowych oraz informacji zdrowotnych z profili użytkowników. Atakujący mogą enumerować katalog użytkowników za pomocą nakładających się terminów alfanumerycznych, aby pozyskać identyfikatory, adresy e-mail, daty urodzenia, płeć, wzrost, cele wagowe, numery telefonów i UID Firebase.
- CVE-2026-54382Wysokie
VitaFit cloud API przed 2026-10-30 zawierało podatność niewłaściwej kontroli dostępu w roli AWS wydawanej przez Cognito, pozwalającą uwierzytelnionym atakującym na wykonywanie operacji s3:PutObject w całym współdzielonym buckecie zamiast tylko we własnym folderze. Atakujący mogą nadpisać obiekty innych użytkowników w współdzielonym buckecie S3 przy użyciu poświadczeń uzyskanych przez CVE-2026-54378.
- CVE-2026-54381Wysokie
VitaFit cloud API przed 2026-10-30 zawierało podatność błędnie skonfigurowanego bucketu przechowywania w chmurze, pozwalającą nieuwierzytelnionym atakującym na listowanie i pobieranie przechowywanych plików bez uwierzytelnienia. Atakujący mogą wyliczyć publicznie dostępny bucket zawierający 129 947 obiektów, w tym 126 881 przesłanych przez użytkowników zdjęć profilowych.
- CVE-2026-54380Średnie
API chmurowe VitaFit przed 2026-10-30 zawierało podatność przechowywanego XSS, pozwalającą uwierzytelnionym atakującym przesłać obraz SVG z złośliwym JavaScriptem do współdzielonego zasobnika. Aplikacja nie ograniczała skryptów ani nie wymuszała pobierania dla typu image/svg+xml, więc JavaScript wykonywał się, gdy ofiara otworzyła plik bezpośrednio w przeglądarce.
- CVE-2026-54384Krytyczne
API chmurowe VitaFit w wersji przed 2026-10-30 zawierało podatność omijania uwierzytelniania, pozwalającą zdalnym atakującym uzyskać pełną sesję konta ofiary poprzez przesłanie identyfikatora powiązanego konta Google lub Facebook do punktu końcowego POST /front/login/sns/ bez dowodu własności od dostawcy tożsamości. Atakujący może sfałszować logowanie przy użyciu identyfikatora ujawnionego przez enumerację kont, aby odczytać i zmodyfikować profil ofiary oraz usunąć rekord uwierzytelniania konta.
- CVE-2026-54378Krytyczne
API chmurowe VitaFit przed 2026-10-30 zawierało podatność polegającą na błędnej kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi uzyskać tymczasowe poświadczenia AWS poprzez wywołanie endpointu POST /front/user/s3/token/. Atakujący może użyć tych niewłaściwie ograniczonych poświadczeń do listowania współdzielonego bucketa i odczytu lub nadpisania plików innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
VitaFit cloud API before 2026-10-30 contained an insecure direct object reference vulnerability that allows authenticated attackers to access another user's data by supplying a different user_id or profile_id to endpoints such as GET /front/profile/{profile_id}/report/ and GET /front/profile/{profile_id}/body_index_per_day/. Attackers can leverage predictable user_id and profile_id relationships combined with an account-enumeration weakness to read another account's email address, profile, body-composition report, and measurement history at scale.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS