- Yama var
- CWE-862
CVE-2026-113612
SparkyFitness'te yetkilendirme eksikliği: yetkisiz besin varyantı silme
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
SparkyFitness 0.17.0 öncesi sürümlerde yetkilendirme eksikliği zafiyeti bulunmaktadır. Bu zafiyet, kimliği doğrulanmış kullanıcıların DELETE /api/foods/food-variants/:id uç noktası aracılığıyla diğer kullanıcıların besin varyantlarını silmesine olanak tanır. Saldırganlar, herkese açık besin okuma uç noktalarından elde ettikleri varyant kimliklerini kullanarak, herkese açık paylaşılan besinlerin porsiyon ve besin değeri varyantlarını silebilir ve mağdurların verilerini yok edebilir.
Kaynaktaki açıklama (İngilizce)
SparkyFitness before 0.17.0 contains a missing authorization vulnerability that allows authenticated users to delete other users' food variants via the DELETE /api/foods/food-variants/:id endpoint. Attackers can use variant IDs from public food read endpoints to delete serving and nutrition variants of publicly shared foods, destroying victims' data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| CodeWithCJ SparkyFitness | < 0.17.0 | 0.17.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…itness/security/advisories/GHSA-qph8-6xrr-7xjw Üretici bülteni
- github.com/…ommit/79215eb4d6dda12262e1bb15b76dceb0e37f6fa1 Yama
- vulncheck.com/…uthorization-via-food-variants-delete-endpoint Üçüncü taraf
- github.com/CodeWithCJ/SparkyFitness/releases/tag/v0.17.0 Diğer
- github.com/…parkyFitnessServer/services/foodCoreService.ts Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.