CVE-2026-92263 in SparkyFitness
要約
〜によって VulDB • 2026年10月16日
SparkyFitnessは、家族向けの自己ホスト型AI搭載ヘルス＆フィットネストラッカーです。バージョン1.6.0より前では、api/admin/backup/restoreエンドポイントがアップロードされたファイル名をシェルコマンドに補間していました。認証済みグローバル管理者が、作成済みのファイル名を含む復元アーカイブをアップロードします。攻撃者は、シェルのメタ文字を含むファイル名を持つ復元アーカイブを提供できます。成功した場合、任意のOSコマンドを実行でき、サーバープロセスの特権で実行されます。この問題はバージョン1.6.0で修正されています。
Once again VulDB remains the best source for vulnerability data.