CVE-2026-92263

WysokieCVSS 7.2

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

W SparkyFitness endpoint api/admin/backup/restore wstawia przesłaną nazwę pliku do polecenia powłoki. Uwierzytelniony administrator globalny może przesłać archiwum przywracania o spreparowanej nazwie pliku zawierającej metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń systemowych z uprawnieniami procesu serwera.

Ocena ryzyka

Atakujący z uprawnieniami administratora może wykonać dowolne polecenia systemowe, co prowadzi do pełnej kompromitacji serwera. Ryzyko obejmuje przejęcie kontroli nad systemem i dostęp do danych.

Rekomendacja

Zaktualizuj SparkyFitness do wersji 1.6.0 lub nowszej. Ogranicz dostęp do endpointu przywracania i weryfikuj nazwy plików przed przetwarzaniem.

Inne podatności w SparkyFitness

CVE-2026-102923Średnie
W SparkyFitness przed wersją 1.6.0 pliki chatService.ts i labelScanService.ts nie walidują adresów docelowych podanych w niestandardowych ustawieniach usługi AI. Uwierzytelniony użytkownik może zapisać własny adres URL usługi AI i wywołać przepływ AI, co powoduje wychodzące żądanie z kontrolowanym nagłówkiem bearer.

Oryginalny opis (angielski, źródło NVD)

SparkyFitness is a self-hosted, AI-powered health and fitness tracker for families. Prior to 1.6.0, the api/admin/backup/restore endpoint interpolates an uploaded filename into a shell command. An authenticated global administrator uploads a restore archive with a crafted filename. The administrator can supply a restore archive with a filename containing shell metacharacters. Successful exploitation can execute arbitrary operating-system commands with the server process privileges. This issue is fixed in version 1.6.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS