CVE-2026-102923

ŚrednieCVSS 5.4

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

W SparkyFitness przed wersją 1.6.0 pliki chatService.ts i labelScanService.ts nie walidują adresów docelowych podanych w niestandardowych ustawieniach usługi AI. Uwierzytelniony użytkownik może zapisać własny adres URL usługi AI i wywołać przepływ AI, co powoduje wychodzące żądanie z kontrolowanym nagłówkiem bearer.

Ocena ryzyka

Udana eksploatacja pozwala wysyłać żądania POST po stronie serwera, sondować usługi wewnętrzne i ujawnić prompt systemowy AI, co może prowadzić do wycieku informacji i wykorzystania serwera jako pośrednika.

Rekomendacja

Zaktualizuj SparkyFitness do wersji 1.6.0 lub nowszej, która naprawia tę podatność.

Inne podatności w SparkyFitness

CVE-2026-92263Wysokie
W SparkyFitness endpoint api/admin/backup/restore wstawia przesłaną nazwę pliku do polecenia powłoki. Uwierzytelniony administrator globalny może przesłać archiwum przywracania o spreparowanej nazwie pliku zawierającej metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń systemowych z uprawnieniami procesu serwera.

Oryginalny opis (angielski, źródło NVD)

SparkyFitness is a self-hosted, AI-powered health and fitness tracker for families. Prior to 1.6.0, SparkyFitnessServer/services/chatService.ts and SparkyFitnessServer/services/labelScanService.ts do not validate destinations supplied in custom AI service settings. An authenticated user saves a custom AI service URL and invokes an affected AI flow. The user can save a custom AI service URL and trigger an outbound request. Successful exploitation can send server-side POST requests with a controlled bearer value, probe internal services, and disclose the AI system prompt. This issue is fixed in version 1.6.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS