- Yama var
- Son 7 gün
- CWE-522
CVE-2026-54378
VitaFit bulut API'sinde S3 token uç noktası üzerinden yetki kontrolü hatası
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, uygulamayı kullanan bir hesabı olan herkesin diğer kullanıcıların verilerine ulaşmasına olanak tanıyabilir. Kullanıcı gizliliği ve veri bütünlüğü açısından yüksek risk taşıdığı için vakit kaybetmeden güncelleme yapılması önerilir.
ÖzetTürkçe
VitaFit bulut API'sinin 2026-10-30 tarihinden önceki sürümlerinde, kimliği doğrulanmış her kullanıcının POST /front/user/s3/token/ uç noktasını çağırarak geçici AWS kimlik bilgileri alabildiği bir kırılgan yetki kontrolü hatası bulunmaktadır. Bu kimlik bilgileri, paylaşılan depolama alanını listelemek ve diğer kullanıcıların dosyalarını okumak veya üzerine yazmak için kullanılabilir. Etkilenen ürün Shenzhen Shine Industrial Co., Ltd. tarafından geliştirilen VitaFit'tir.
Saldırgan ne yapabilir?
Saldırgan, yetkisiz olarak diğer kullanıcıların depolanan dosyalarına erişebilir, bunları okuyabilir veya değiştirebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit cloud API before 2026-10-30 contained a broken access control vulnerability that allows any authenticated user to obtain temporary AWS credentials by calling the POST /front/user/s3/token/ endpoint. Attackers can use these improperly scoped credentials to list the shared storage bucket and read or overwrite other users' stored files, enabling unauthorized cross-user data access and manipulation.
Ne yapmalı?
- VitaFit'i 2026-10-30 veya sonrasındaki sürüme güncelleyin. Üretici
- Güncelleme uygulanana kadar, S3 token uç noktasına erişimi kısıtlamayı ve kullanıcı dosyalarına ait depolama erişimini gözden geçirmeyi değerlendirin. Genel öneri
- Verilen geçici AWS kimlik bilgilerinin kapsamının yalnızca kullanıcının kendi dosyalarıyla sınırlı olduğunu doğrulayın; mümkünse etkilenen erişim anahtarlarını iptal edip yeniden oluşturun. Genel öneri
Ek önlemler
- Depolama alanındaki dosya erişim loglarını inceleyerek olağandışı listeleme, okuma veya yazma işlemlerini arayın. Genel öneri
- Bulut depolama kaynaklarında en az yetki ilkesini uygulayın ve her kullanıcının yalnızca kendi nesnelerine erişebilmesini sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2026-10-30 | 2026-10-30 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…pi-broken-access-control-via-s3-token-endpoint Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.