- Yama var
- Son 7 gün
- CWE-732
CVE-2026-54381
VitaFit bulut API depolama alanı kimlik doğrulamasız erişime açık, veri sızıntısı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kullanıcıların kişisel verilerinin kimlik bilgisi gerektirmeden herkese açık hale gelmesine yol açabilir. Kullanıcı verilerinin sızması hem yasal yükümlülükler hem de itibar açısından ciddi risk oluşturur. Etkilenen sürümlerin acilen güncellenmesi ve veri erişiminin incelenmesi önerilir.
ÖzetTürkçe
VitaFit bulut API'sinde, 2026-10-30 tarihinden önceki sürümlerde yanlış yapılandırılmış bir bulut depolama alanı (bucket) bulunmaktadır. Bu yapılandırma hatası nedeniyle kimlik doğrulaması yapmayan saldırganlar depolanan dosyaları listeleyebilir ve indirebilir. Etkilenen ürün, Shenzhen Shine Industrial Co., Ltd. tarafından geliştirilen VitaFit'tir.
Saldırgan ne yapabilir?
Saldırgan kimlik bilgisi olmadan 129.947 nesneden oluşan depolama alanını tarayabilir ve 126.881 kullanıcı profil resmi dahil kişisel verilere erişebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit cloud API before 2026-10-30 contained a misconfigured cloud storage bucket vulnerability that allows unauthenticated attackers to list and download stored files without authentication. Attackers can enumerate the publicly accessible bucket containing 129,947 objects, including 126,881 user-uploaded profile images, to access sensitive personal data without credentials.
Ne yapmalı?
- VitaFit'i 2026-10-30 veya sonrasındaki düzeltilmiş sürüme güncelleyin. Üretici
- Güncelleme öncesinde depolama alanındaki erişim ayarlarını gözden geçirin ve herkese açık erişimi kapatın. Genel öneri
- Depolama alanındaki dosyalara yapılan erişim kayıtlarını inceleyerek olası veri sızıntısının kapsamını belirleyin. Genel öneri
Ek önlemler
- Bulut depolama alanlarının herkese açık okuma ve listeleme izinlerini düzenli olarak denetleyin. Genel öneri
- Kullanıcı verilerinin saklandığı alanlar için en az ayrıcalık ilkesini uygulayın. Genel öneri
- Beklenmedik indirme veya yüksek hacimli listeleme isteklerini izlemek için günlük ve uyarı mekanizmaları kurun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2026-10-30 | 2026-10-30 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…-unauthenticated-access-information-disclosure Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.