CVE-2026-102923 in SparkyFitness
Zusammenfassung
von VulDB • 16.10.2026
SparkyFitness ist ein selbst gehosteter, KI-gestützter Gesundheits- und Fitness-Tracker für Familien. Vor Version 1.6.0 validieren SparkyFitnessServer/services/chatService.ts und SparkyFitnessServer/services/labelScanService.ts die in den benutzerdefinierten AI-Diensteinstellungen angegebenen Ziele nicht. Ein authentifizierter Benutzer speichert eine URL eines benutzerdefinierten AI-Dienstes und ruft einen betroffenen AI-Flow auf. Der Benutzer kann eine URL eines benutzerdefinierten AI-Dienstes speichern und eine ausgehende Anfrage auslösen. Eine erfolgreiche Ausnutzung kann serverseitige POST-Anfragen mit einem kontrollierten Bearer-Wert senden, interne Dienste abtasten und das Prompt des KI-Systems offenlegen. Dieses Problem wurde in Version 1.6.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.