PT-2026-137212
CVE-2026-54377
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
VitaFit cloud API الإصدارات السابقة لـ 30-10-2026
Description
يسمح وجود مرجع كائن مباشر غير آمن للمهاجمين المصرح لهم بالوصول إلى بيانات مستخدمين آخرين. من خلال استغلال العلاقات المتوقعة بين
user id و profile id إلى جانب ضعف في تعداد الحسابات، يمكن للمهاجمين قراءة عناوين البريد الإلكتروني والملفات الشخصية وتقارير تكوين الجسم وسجل القياسات على نطاق واسع. تؤثر هذه المشكلة على نقاط النهاية التالية:- 'GET /front/profile/{profile id}/report/'
- 'GET /front/profile/{profile id}/body index per day/'
المعاملات المصابة هي
user id و profile id.Recommendations
تحديث VitaFit cloud API إلى إصدار تم إصداره في أو بعد 30-10-2026.
تجنب استخدام المعاملات
user id و profile id في نقاط نهاية API المتأثرة حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾