CVE-2026-92263 in SparkyFitness
Сводка
по VulDB • 16.10.2026
SparkyFitness — это автономное, управляемое искусственным интеллектом приложение для отслеживания здоровья и фитнеса для семейных пользователей. До версии 1.6.0 конечная точка api/admin/backup/restore интерполирует загруженное имя файла в команду оболочки (shell). Аутентифицированный глобальный администратор загружает архив восстановления с специально созданным именем файла. Администратор может предоставить архив восстановления, содержащий в имени файла метасимволы оболочки. Успешная эксплуатация уязвимости позволяет выполнять произвольные команды операционной системы с привилегиями процесса сервера. Эта проблема исправлена в версии 1.6.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.