CVE-2026-92263 in SparkyFitness
Zusammenfassung
von VulDB • 16.10.2026
SparkyFitness ist ein selbst gehosteter, KI-gestützter Gesundheits- und Fitness-Tracker für Familien. Vor Version 1.6.0 interpoliert der Endpunkt api/admin/backup/restore einen hochgeladenen Dateinamen in einem Shell-Befehl. Ein authentifizierter globaler Administrator lädt ein Wiederherstellungsarchiv mit einem manipulierten Dateinamen hoch. Der Administrator kann ein Wiederherstellungsarchiv mit einem Dateinamen bereitstellen, das Shell-Metazeichen enthält. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebiger Betriebssystembefehle mit den Berechtigungen des Serverprozesses. Dieses Problem wurde in Version 1.6.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.