- Yama var
- Son 7 gün
- CWE-613
CVE-2026-54375
VitaFit Android uygulamasında uzun ömürlü oturum belirteçlerinin açığa çıkması
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kullanıcıların hesap bilgilerine ve kişisel verilerine yetkisiz erişime yol açabilir. Oturum bilgileri uzun süre geçerli kaldığı için risk zamanla azalmaz. Kullanıcıların uygulamayı mutlaka güncellemesi ve şüpheli hesap hareketlerini izlemesi önemlidir.
ÖzetTürkçe
VitaFit Android uygulamasının 2.8.1.0 öncesi sürümlerinde oturum yönetimi güvenli değildir. Uygulama yedeklerinde şifrelenmemiş halde saklanan m_session_id oturum belirteçleri çalınabilmekte ve bu belirteçler on yıl boyunca geçerli kalmaktadır. Etkilenen kullanıcılar, uygulamayı kullanan tüm VitaFit Android kullanıcılarıdır.
Saldırgan ne yapabilir?
Saldırgan çalınan oturum belirtecini kullanarak kurban hesabını okuyup değiştirebilir veya hesabın kimlik doğrulama kaydını silerek meşru sahibinin tekrar giriş yapmasını engelleyebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure session management vulnerability that allows attackers to extract or intercept unencrypted m_session_id tokens stored in application backups, which remain valid for ten years. Attackers can use a stolen session token to read and modify the victim's account or delete the account's authentication record, preventing the legitimate owner from logging in again.
Ne yapmalı?
- VitaFit Android uygulamasını 2.8.1.0 veya üzeri sürüme güncelleyin. Üretici
- Güncelleme sonrasında mevcut oturumların geçersiz kılınması ve kullanıcıların yeniden giriş yapması için hesap oturumlarını gözden geçirin. Genel öneri
- Cihaz yedeklerinde saklanan oturum bilgilerinin risk oluşturabileceğini göz önünde bulundurarak, şüpheli durumda ilgili hesabın şifresini değiştirin ve oturumları sonlandırın. Genel öneri
Ek önlemler
- Hesap hareketlerini ve beklenmedik oturum açma kayıtlarını düzenli olarak izleyin. Genel öneri
- Uygulama yedeklemelerinin hassas oturum verileri içerip içermediğini değerlendirin ve mümkünse yedeklemeden hariç tutulmasını sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2.8.1.0 | 2.8.1.0 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…afit-android-long-lived-session-token-exposure Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.