CVE-2026-92263 in SparkyFitness
الملخص
بحسب VulDB • 16/10/2026
SparkyFitness هو متتبع صحي ولياقة بدنية مدعوم بالذكاء الاصطناعي ومُستضاف ذاتيًا للعائلات. قبل الإصدار 1.6.0، يقوم نقطة النهاية api/admin/backup/restore بتضمين اسم الملف المُحمّل في أمر قشرة (shell command). يرفع مسؤول عالمي مُصادق عليه أرشيف استعادة يحتوي على اسم ملف مُصاغ بعناية. يمكن للمسؤول تزويد بأرشيف الاستعادة باسم ملف يحتوي على أحرف خاصة للأوامر (shell metacharacters). يؤدي الاستغلال الناجح إلى تنفيذ أوامر نظام تشغيل عشوائية بصلاحيات عملية الخادم. تم إصلاح هذه المشكلة في الإصدار 1.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.