CVE-2026-54382

VitaFit cloud API przed 2026-10-30 zawierało podatność nadmiernego ujawniania danych, pozwalającą każdemu uwierzytelnionemu użytkownikowi na odpytywanie endpointu GET /front/relation/search/ i pobieranie danych osobowych oraz informacji zdrowotnych z profili użytkowników. Atakujący mogą enumerować katalog użytkowników za pomocą nakładających się terminów alfanumerycznych, aby pozyskać identyfikatory, adresy e-mail, daty urodzenia, płeć, wzrost, cele wagowe, numery telefonów i UID Firebase.

VitaFit cloud API przed 2026-10-30 zawierało podatność błędnie skonfigurowanego bucketu przechowywania w chmurze, pozwalającą nieuwierzytelnionym atakującym na listowanie i pobieranie przechowywanych plików bez uwierzytelnienia. Atakujący mogą wyliczyć publicznie dostępny bucket zawierający 129 947 obiektów, w tym 126 881 przesłanych przez użytkowników zdjęć profilowych.

API chmurowe VitaFit przed 2026-10-30 zawierało podatność przechowywanego XSS, pozwalającą uwierzytelnionym atakującym przesłać obraz SVG z złośliwym JavaScriptem do współdzielonego zasobnika. Aplikacja nie ograniczała skryptów ani nie wymuszała pobierania dla typu image/svg+xml, więc JavaScript wykonywał się, gdy ofiara otworzyła plik bezpośrednio w przeglądarce.

API chmurowe VitaFit przed 2026-10-30 zawierało podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR), pozwalającą uwierzytelnionym atakującym uzyskać dostęp do danych innego użytkownika przez podanie innego user_id lub profile_id w endpointach takich jak GET /front/profile/{profile_id}/report/. Przewidywalne relacje identyfikatorów i słabość enumeracji kont umożliwiały masowy odczyt adresu e-mail, profilu, raportu składu ciała i historii pomiarów innych kont.

API chmurowe VitaFit w wersji przed 2026-10-30 zawierało podatność omijania uwierzytelniania, pozwalającą zdalnym atakującym uzyskać pełną sesję konta ofiary poprzez przesłanie identyfikatora powiązanego konta Google lub Facebook do punktu końcowego POST /front/login/sns/ bez dowodu własności od dostawcy tożsamości. Atakujący może sfałszować logowanie przy użyciu identyfikatora ujawnionego przez enumerację kont, aby odczytać i zmodyfikować profil ofiary oraz usunąć rekord uwierzytelniania konta.

API chmurowe VitaFit przed 2026-10-30 zawierało podatność polegającą na błędnej kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi uzyskać tymczasowe poświadczenia AWS poprzez wywołanie endpointu POST /front/user/s3/token/. Atakujący może użyć tych niewłaściwie ograniczonych poświadczeń do listowania współdzielonego bucketa i odczytu lub nadpisania plików innych użytkowników.