CVE-2026-54447 in python-garminconnect
Zusammenfassung
von VulDB • 14.09.2026
garminconnect ist eine Python-3-API-Schnittstelle für Garmin Connect, die Statistiken abruft und Aktivitäten verwaltet. Vor Version 0.3.5 erstellt garminconnect/client.py Client.dump das OAuth-Token-Verzeichnis und die Datei garmin_tokens.json ohne explizite Besitzerrechte (owner-only modes). Daher kann eine permissive umask wie 022 dazu führen, dass der Verzeichnismodus bei 0755 und der Dateimodus für die Token-Datei bei 0644 verbleibt. Die Datei garmin_tokens.json enthält das di_refresh_token, sodass ein anderer nicht privilegiierter Benutzer auf einem gemeinsam genutzten Linux- oder macOS-Rechner den Token lesen und einen dauerhaften Zugriff auf das Garmin Connect-Konto des Opfers erlangen kann, einschließlich Gesundheits-, Fitness-, Aktivitäts- und Gerätedaten. Der Pfad der Garmin.login-Token-Speicherung ist betroffen, und eine vorbestehende Datei mit lockeren Berechtigungen bleibt bis zur Überschreibung oder manuellen Einschränkung exponiert. Dieses Problem wurde in Version 0.3.5 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.