CVE-2026-113612
ŚrednieCVSS 5.4Streszczenie
SparkyFitness przed 0.17.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać warianty żywności innych użytkowników poprzez endpoint DELETE /api/foods/food-variants/:id. Atakujący mogą użyć identyfikatorów wariantów z publicznych endpointów odczytu żywności, aby usunąć warianty porcji i wartości odżywczych publicznie udostępnionej żywności, niszcząc dane ofiar.
Ocena ryzyka
Atakujący może zniszczyć dane żywnościowe innych użytkowników, powodując utratę informacji i zakłócenia w działaniu aplikacji. Może to podważyć zaufanie do integralności danych w systemie.
Rekomendacja
Zaktualizuj SparkyFitness do wersji 0.17.0 lub nowszej. Wprowadź kontrolę uprawnień do endpointu usuwania wariantów żywności.
Inne podatności w SparkyFitness
Zobacz wszystkie- CVE-2026-92263Wysokie
W SparkyFitness endpoint api/admin/backup/restore wstawia przesłaną nazwę pliku do polecenia powłoki. Uwierzytelniony administrator globalny może przesłać archiwum przywracania o spreparowanej nazwie pliku zawierającej metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń systemowych z uprawnieniami procesu serwera.
- CVE-2026-102923Średnie
W SparkyFitness przed wersją 1.6.0 pliki chatService.ts i labelScanService.ts nie walidują adresów docelowych podanych w niestandardowych ustawieniach usługi AI. Uwierzytelniony użytkownik może zapisać własny adres URL usługi AI i wywołać przepływ AI, co powoduje wychodzące żądanie z kontrolowanym nagłówkiem bearer.
Oryginalny opis (angielski, źródło NVD)
SparkyFitness before 0.17.0 contains a missing authorization vulnerability that allows authenticated users to delete other users' food variants via the DELETE /api/foods/food-variants/:id endpoint. Attackers can use variant IDs from public food read endpoints to delete serving and nutrition variants of publicly shared foods, destroying victims' data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS