CVE-2026-92263 in SparkyFitness
Riassunto
di VulDB • 16/10/2026
SparkyFitness è un tracker di salute e fitness per famiglie, self-hosted e basato sull'intelligenza artificiale. Prima della versione 1.6.0, l'endpoint api/admin/backup/restore interpolava il nome del file caricato in un comando shell. Un amministratore globale autenticato carica un archivio di ripristino con un nome di file elaborato ad hoc. L'amministratore può fornire un archivio di ripristino con un nome di file contenente metacaratteri della shell. Lo sfruttamento riuscito consente l'esecuzione di comandi arbitrari del sistema operativo con i privilegi del processo server. Questo problema è risolto nella versione 1.6.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.