CVE-2026-92263 in SparkyFitness
요약
\~에 의해 VulDB • 2026. 10. 16.
SparkyFitness는 가족을 위한 자체 호스팅형 AI 기반 건강 및 피트니스 추적기입니다. 버전 1.6.0 이전에는 api/admin/backup/restore 엔드포인트가 업로드된 파일명을 셸 명령어에 삽입(interpolate)합니다. 인증된 전역 관리자가 조작된 파일명이 포함된 복원 아카이브를 업로드합니다. 관리자는 셸 메타문자를 포함하는 파일명으로 복원 아카이브를 제공할 수 있습니다. 성공적인 공격 시 서버 프로세스 권한으로 임의의 운영체제 명령을 실행할 수 있습니다. 이 문제는 버전 1.6.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.