- Yama var
- Son 7 gün
- CWE-290
CVE-2026-54384
VitaFit bulut API'sinde POST /front/login/sns/ üzerinden kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, uygulamaya sahte giriş yapılmasına ve kullanıcı hesaplarının ele geçirilip bozulmasına olanak tanıyor. Kullanıcı verilerinin ve hesap erişiminin kaybı müşteri güveni ve yasal yükümlülükler açısından ciddi risk oluşturur. Bu nedenle güncellemenin acilen uygulanması gerekir.
ÖzetTürkçe
VitaFit bulut API'sinin 2026-10-30 tarihinden önceki sürümlerinde, sosyal giriş (Google veya Facebook) uç noktasında kimlik doğrulama atlatma açığı bulunmaktadır. Saldırgan, bağlantılı bir Google veya Facebook hesap kimliğini sağlayıcıdan sahiplik kanıtı almadan POST /front/login/sns/ uç noktasına göndererek kurbanın hesabına tam oturum açabilir. Kimlik bilgisi, hesap numaralandırma yoluyla elde edilebilir.
Saldırgan ne yapabilir?
Saldırgan kurbanın profilini okuyup değiştirebilir ve hesabın kimlik doğrulama kaydını silerek meşru kullanıcının giriş yapmasını engelleyebilir.
Kaynaktaki açıklama (İngilizce)
VitaFit cloud API before 2026-10-30 contained an authentication bypass vulnerability that allows remote attackers to obtain a full session for a victim's account by submitting a linked Google or Facebook account identifier to the POST /front/login/sns/ endpoint without providing proof of ownership from the identity provider. Attackers can forge a login using an identifier exposed through account enumeration to read and modify the victim's profile and delete the account's authentication record, preventing the legitimate user from logging in.
Ne yapmalı?
- VitaFit'i 2026-10-30 veya sonraki düzeltilmiş sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar sosyal giriş uç noktasına erişimi ağ düzeyinde kısıtlayın veya geçici olarak devre dışı bırakın. Genel öneri
- Sosyal giriş ile oluşturulmuş hesaplarda olağan dışı oturum açma, profil değişikliği ve hesap silme kayıtlarını inceleyin. Genel öneri
Ek önlemler
- Sosyal giriş isteklerinde sağlayıcıdan gelen kimlik doğrulama belirteçlerinin sunucu tarafında doğrulandığından emin olun. Genel öneri
- Hesap numaralandırmasını önlemek için kimlik ve hata yanıtlarını genelleştirin ve istek hızını sınırlayın. Genel öneri
- Hassas hesap işlemleri için ek doğrulama (örneğin tek kullanımlık kod) uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. VitaFit | < 2026-10-30 | 2026-10-30 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…authentication-bypass-via-post-front-login-sns Üçüncü taraf
- github.com/je-lv/vitafit-security-research İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.