VitaFit Androidアプリで埋め込み認証情報が漏えいする脆弱性
Summary
VitaFit Androidアプリ（2.8.1.0より前）には、認証情報がアプリ内に直接書き込まれている脆弱性があります。APKを逆コンパイルすると、WeChat、Tencent QQ、Fitbitと連携するための秘密情報を取り出され、登録済みの外部連携が悪用されるおそれがあります。修正版の2.8.1.0が公開されているので、アプリを更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VitaFit Androidアプリ（2.8.1.0より前）には、認証情報がアプリ内に直接書き込まれている脆弱性があります。APKを逆コンパイルすると、WeChat、Tencent QQ、Fitbitと連携するための秘密情報を取り出され、登録済みの外部連携が悪用されるおそれがあります。修正版の2.8.1.0が公開されているので、アプリを更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
< 2.8.1.0 |
2.8.1.0 |
Original description The description as published by the source.
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains a hardcoded credentials vulnerability that allows attackers to extract confidential third-party integration secrets by decompiling the APK. Attackers can retrieve embedded WeChat, Tencent QQ, and Fitbit credentials from the decompiled application to abuse the active third-party application registrations.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com