- Yama var
- Son 7 gün
- CWE-926
CVE-2026-54376
VitaFit Android uygulamasında özel URI şeması nedeniyle Fitbit token ele geçirme açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kullanıcıların sağlık ve fitness verilerinin başkaları tarafından okunmasına, değiştirilmesine veya silinmesine yol açabilir. Risk orta-yüksek düzeydedir ve kullanıcıların uygulamayı güncellemesi önemlidir.
ÖzetTürkçe
VitaFit Android uygulamasının 2.8.1.0 sürümünden önceki sürümlerinde, uygulamanın kullandığı özel URI şeması (vitafit://) korunmasız biçimde tanımlanmıştır. Aynı şemayı kaydeden kötü amaçlı bir uygulama, Fitbit giriş işlemi sonrasında geri çağırma adresiyle iletilen yetkilendirme token'ını ele geçirebilir. Etkilenen kullanıcılar, Fitbit hesaplarını VitaFit ile bağlamış olanlardır.
Saldırgan ne yapabilir?
Saldırgan, ele geçirdiği 30 günlük ağırlık yetkisine sahip token ile kurbanın Fitbit vücut ağırlığı ve vücut yağ oranı kayıtlarını okuyabilir, oluşturabilir ve silebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure custom URI scheme vulnerability that allows a malicious application to intercept Fitbit login tokens by registering the same callback scheme (vitafit://vtio.cn). Attackers can capture the 30-day Fitbit authorization token with weight scope delivered in the callback URL to read, create, and delete the victim's weight and body-fat records via the Fitbit Body API.
Ne yapmalı?
- VitaFit Android uygulamasını 2.8.1.0 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar VitaFit uygulamasıyla Fitbit hesabı bağlantısını geçici olarak kaldırmayı ve güvenilmeyen uygulamaları cihazdan kaldırmayı değerlendirin. Genel öneri
- Fitbit hesabınızdaki bağlı uygulama yetkilerini gözden geçirin ve kullanılmayan veya tanınmayan uygulamaların erişimini iptal edin. Genel öneri
Ek önlemler
- Cihazınıza yalnızca güvenilir kaynaklardan uygulama yükleyin ve aynı özel şemayı kullanabilecek şüpheli uygulamaları inceleyin. Genel öneri
- Fitbit hesabınızdaki vücut ağırlığı ve yağ oranı kayıtlarında beklenmedik değişiklik veya silinme olup olmadığını düzenli olarak kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2.8.1.0 | 2.8.1.0 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…afit-android-custom-uri-scheme-token-hijacking Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.