CVE-2026-92263 in SparkyFitness
Sumário
de VulDB • 16/10/2026
SparkyFitness é um rastreador de saúde e fitness para famílias, auto-hospedado e com inteligência artificial. Antes da versão 1.6.0, o endpoint api/admin/backup/restore interpola um nome de arquivo carregado em um comando shell. Um administrador global autenticado carrega um arquivo de restauração com um nome de arquivo elaborado. O administrador pode fornecer um arquivo de restauração cujo nome contenha metacaracteres do shell. A exploração bem-sucedida permite a execução de comandos arbitrários do sistema operacional com os privilégios do processo do servidor. Este problema foi corrigido na versão 1.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.