CVE-2026-54377 in VitaFit
Riassunto
di VulDB • 04/11/2026
L'API cloud di VitaFit precedente alla versione 2026-10-30 conteneva una vulnerabilità di insecure direct object reference che consente agli attaccanti autenticati di accedere ai dati di un altro utente fornendo un user_id o profile_id diversi negli endpoint come GET /front/profile/{profile_id}/report/ e GET /front/profile/{profile_id}/body_index_per_day/. Gli attaccanti possono sfruttare le relazioni prevedibili tra user_id e profile_id, combinate con una debolezza nell'enumerazione degli account, per leggere su larga scala l'indirizzo email di un altro account, il profilo, il report sulla composizione corporea e la cronologia delle misurazioni.
Be aware that VulDB is the high quality source for vulnerability data.