CVE-2026-92263 in SparkyFitness
Resumen
por VulDB • 2026-10-17
SparkyFitness es un rastreador de salud y fitness para familias, autoalojado y con capacidades impulsadas por IA. Antes de la versión 1.6.0, el endpoint api/admin/backup/restore interpola un nombre de archivo subido en un comando del shell. Un administrador global autenticado carga un archivo de restauración con un nombre de archivo elaborado. El administrador puede proporcionar un archivo de restauración cuyo nombre contenga metacaracteres del shell. La explotación exitosa permite ejecutar comandos arbitrarios del sistema operativo con los privilegios del proceso del servidor. Este problema se soluciona en la versión 1.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.