VitaFit Cloud API Excessive Data Exposure via relation/search Endpoint

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

VitaFit cloud API before 2026-10-30 contained an excessive data exposure vulnerability that allows any authenticated user to query the GET /front/relation/search/ endpoint and retrieve PII and health-related profile information for user records. Attackers can enumerate the user directory using overlapping alphanumeric search terms to harvest identifiers, emails, birthdays, gender, height, weight goals, phone numbers, and Firebase UIDs.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• vulncheck.com/…ive-data-exposure-via-relation-search-endpoint Üçüncü taraf
• github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
• play.google.com/store/apps/details Diğer

Kayıt geçmişi

1. 5 Kas 2026 01:21Yayımlandı

İlgili açıklar

• 9,8 CVE-2026-54384VitaFit bulut API'sinde POST /front/login/sns/ üzerinden kimlik doğrulama atlatma açığı
• 7,7 CVE-2026-54382VitaFit bulut API'sinde Cognito S3 erişiminde yanlış yapılandırılmış IAM yetkileri
• 7,5 CVE-2026-54381VitaFit bulut API depolama alanı kimlik doğrulamasız erişime açık, veri sızıntısı
• 5,4 CVE-2026-54380VitaFit Cloud API Stored XSS via SVG File Upload
• 9,6 CVE-2026-54378VitaFit bulut API'sinde S3 token uç noktası üzerinden yetki kontrolü hatası
• 6,5 CVE-2026-54377VitaFit Cloud API IDOR via profile_id Endpoints