PT-2026-137211
CVE-2026-54376
·
Publicado
2026-11-04
·
Atualizado
2026-11-04
Descrição por
CVSS 3.1
8.2
AltaMétricasAV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
Nome do Software Vulnerável e Versões Afetadas
VitaFit versões anteriores a 2.8.1.0
Descrição
O aplicativo utiliza um esquema de URI personalizado inseguro que permite que um aplicativo malicioso intercepte tokens de login do Fitbit ao registrar o mesmo esquema de callback
vitafit://vtio.cn. Um invasor pode capturar o token de autorização do Fitbit de 30 dias com escopo de peso entregue na URL de callback, permitindo ler, criar e excluir registros de peso e gordura corporal da vítima via Fitbit Body API.Recomendações
Atualize para a versão 2.8.1.0 ou posterior.
Explorabilidade
Exploit
Correção
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾