- Yama var
- Son 7 gün
- CWE-798
CVE-2026-54374
VitaFit Android uygulamasında gömülü üçüncü taraf kimlik bilgileri ifşası
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Uygulamanın içine gömülü gizli anahtarlar herkesin erişebileceği bir dosyadan çıkarılabilmektedir. Bu, şirketin diğer platformlardaki entegrasyonlarının kötüye kullanılmasına ve itibar kaybına yol açabilir. Uygulamanın güncellenmesi acil bir öncelik olmalıdır.
ÖzetTürkçe
VitaFit Android uygulamasının (com.vt.vitafit) 2.8.1.0 öncesi sürümlerinde, üçüncü taraf entegrasyonları için kullanılan kimlik bilgileri uygulamanın içine sabit olarak gömülmüştür. Saldırgan APK dosyasını tersine derleyerek WeChat, Tencent QQ ve Fitbit kimlik bilgilerini elde edebilir.
Saldırgan ne yapabilir?
Saldırgan, ele geçirdiği kimlik bilgileriyle uygulamanın üçüncü taraf platformlardaki aktif kayıtlarını kötüye kullanabilir. Bu durum, bağlı platformlardaki verilere erişim ve bu entegrasyonların suistimal edilmesi anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains a hardcoded credentials vulnerability that allows attackers to extract confidential third-party integration secrets by decompiling the APK. Attackers can retrieve embedded WeChat, Tencent QQ, and Fitbit credentials from the decompiled application to abuse the active third-party application registrations.
Ne yapmalı?
- VitaFit Android uygulamasını 2.8.1.0 veya daha yeni bir sürüme güncelleyin. Üretici
- Uygulamada gömülü olan WeChat, Tencent QQ ve Fitbit kimlik bilgilerini üçüncü taraf platformlarda iptal edin veya yenileyin; yeni anahtarları yalnızca sunucu tarafında saklayın. Genel öneri
Ek önlemler
- Mobil uygulamalara kimlik bilgisi, API anahtarı veya gizli anahtar gömmekten kaçının; bu bilgileri sunucu tarafında tutup uygulamaya kısa ömürlü belirteçlerle erişim verin. Genel öneri
- Üçüncü taraf platform kayıtlarında beklenmedik API kullanımını ve olağandışı erişim kayıtlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2.8.1.0 | 2.8.1.0 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…tafit-android-hardcoded-credentials-disclosure Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.