CVE-2026-92263
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W SparkyFitness endpoint api/admin/backup/restore wstawia przesłaną nazwę pliku do polecenia powłoki. Uwierzytelniony administrator globalny może przesłać archiwum przywracania o spreparowanej nazwie pliku zawierającej metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń systemowych z uprawnieniami procesu serwera.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wykonać dowolne polecenia systemowe, co prowadzi do pełnej kompromitacji serwera. Ryzyko obejmuje przejęcie kontroli nad systemem i dostęp do danych.
Rekomendacja
Zaktualizuj SparkyFitness do wersji 1.6.0 lub nowszej. Ogranicz dostęp do endpointu przywracania i weryfikuj nazwy plików przed przetwarzaniem.
Inne podatności w SparkyFitness
Zobacz wszystkie- CVE-2026-113612Średnie
SparkyFitness przed 0.17.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać warianty żywności innych użytkowników poprzez endpoint DELETE /api/foods/food-variants/:id. Atakujący mogą użyć identyfikatorów wariantów z publicznych endpointów odczytu żywności, aby usunąć warianty porcji i wartości odżywczych publicznie udostępnionej żywności, niszcząc dane ofiar.
- CVE-2026-102923Średnie
W SparkyFitness przed wersją 1.6.0 pliki chatService.ts i labelScanService.ts nie walidują adresów docelowych podanych w niestandardowych ustawieniach usługi AI. Uwierzytelniony użytkownik może zapisać własny adres URL usługi AI i wywołać przepływ AI, co powoduje wychodzące żądanie z kontrolowanym nagłówkiem bearer.
Oryginalny opis (angielski, źródło NVD)
SparkyFitness is a self-hosted, AI-powered health and fitness tracker for families. Prior to 1.6.0, the api/admin/backup/restore endpoint interpolates an uploaded filename into a shell command. An authenticated global administrator uploads a restore archive with a crafted filename. The administrator can supply a restore archive with a filename containing shell metacharacters. Successful exploitation can execute arbitrary operating-system commands with the server process privileges. This issue is fixed in version 1.6.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS