CVE-2026-54384
Beschrijving NL
VitaFit cloud API voor 2026-10-30 bevatte een authenticatie-bypass-kwetsbaarheid waarmee externe aanvallers een volledige sessie voor het account van een slachtoffer kunnen verkrijgen door een gekoppelde Google- of Facebook-account-ID in te dienen bij de POST /front/login/sns/ endpoint zonder bewijs van eigendom van de identiteitsprovider. Aanvallers kunnen een login vervalsen met behulp van een identificator die zichtbaar is via accountvermelding om het profiel van het slachtoffer te lezen en te wijzigen en het authenticatierecord van het account te verwijderen, waardoor de legitieme gebruiker niet kan inloggen.
Origineel (Engels) tonen
VitaFit cloud API before 2026-10-30 contained an authentication bypass vulnerability that allows remote attackers to obtain a full session for a victim's account by submitting a linked Google or Facebook account identifier to the POST /front/login/sns/ endpoint without providing proof of ownership from the identity provider. Attackers can forge a login using an identifier exposed through account enumeration to read and modify the victim's profile and delete the account's authentication record, preventing the legitimate user from logging in.