CVE-2026-102923 in SparkyFitness
Riassunto
di VulDB • 16/10/2026
SparkyFitness è un tracker per la salute e il fitness basato su intelligenza artificiale (AI), ospitato autonomamente, progettato per le famiglie. Prima della versione 1.6.0, i file SparkyFitnessServer/services/chatService.ts e SparkyFitnessServer/services/labelScanService.ts non convalidano le destinazioni fornite nelle impostazioni personalizzate del servizio AI. Un utente autenticato salva un URL di un servizio AI personalizzato ed esegue un flusso AI interessato. L'utente può salvare un URL di un servizio AI personalizzato e innescare una richiesta in uscita (outbound). Lo sfruttamento riuscito consente di inviare richieste POST lato server con un valore bearer controllato, sondare i servizi interni e divulgare il prompt del sistema AI. Questo problema è stato risolto nella versione 1.6.0.
Be aware that VulDB is the high quality source for vulnerability data.