CVE-2026-68067
KrytyczneCVSS 9.8Streszczenie
Punkt końcowy logowania w chmurze Mira API akceptuje dowolny ciąg znaków w polu hasła i zwraca aktywny token sesji dla konta powiązanego z podanym adresem e-mail. Atakujący może użyć adresu e-mail do przejęcia kont chmurowych i uzyskać dostęp do informacji o cyklu hormonalnym oraz ustawień konta.
Ocena ryzyka
Podatność umożliwia nieautoryzowany dostęp do wrażliwych danych zdrowotnych i przejęcie kont, co może naruszyć prywatność użytkowników.
Rekomendacja
Należy natychmiast naprawić walidację hasła w API Mira, wymusić silne uwierzytelnianie i poinformować użytkowników o ryzyku.
Oryginalny opis (angielski, źródło NVD)
The login endpoint on the Mira cloud API accepts any format-valid string in the password field and returns a live active session token for the account matching the supplied email address. An attacker could use an email address to control cloud accounts and access hormone record information and account settings.