Podatności SparkyFitness
3 znanych podatności CVE w SparkyFitness, przetłumaczonych i ocenionych.
- CVE-2026-113612Średnie
SparkyFitness przed 0.17.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym użytkownikom usuwać warianty żywności innych użytkowników poprzez endpoint DELETE /api/foods/food-variants/:id. Atakujący mogą użyć identyfikatorów wariantów z publicznych endpointów odczytu żywności, aby usunąć warianty porcji i wartości odżywczych publicznie udostępnionej żywności, niszcząc dane ofiar.
- CVE-2026-92263Wysokie
W SparkyFitness endpoint api/admin/backup/restore wstawia przesłaną nazwę pliku do polecenia powłoki. Uwierzytelniony administrator globalny może przesłać archiwum przywracania o spreparowanej nazwie pliku zawierającej metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń systemowych z uprawnieniami procesu serwera.
- CVE-2026-102923Średnie
W SparkyFitness przed wersją 1.6.0 pliki chatService.ts i labelScanService.ts nie walidują adresów docelowych podanych w niestandardowych ustawieniach usługi AI. Uwierzytelniony użytkownik może zapisać własny adres URL usługi AI i wywołać przepływ AI, co powoduje wychodzące żądanie z kontrolowanym nagłówkiem bearer.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS