VitaFit Androidに長期間有効なセッショントークンが露出する脆弱性
Summary
VitaFit Androidの2.8.1.0より前のバージョンには、セッショントークンの管理に問題がある脆弱性があります。アプリのバックアップに暗号化されていないm_session_idが残り、10年間有効なままになるため、抜き取られるとアカウントの閲覧や変更、認証情報の削除に悪用されるおそれがあります。修正版の2.8.1.0が公開されているので、速やかに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VitaFit Androidの2.8.1.0より前のバージョンには、セッショントークンの管理に問題がある脆弱性があります。アプリのバックアップに暗号化されていないm_session_idが残り、10年間有効なままになるため、抜き取られるとアカウントの閲覧や変更、認証情報の削除に悪用されるおそれがあります。修正版の2.8.1.0が公開されているので、速やかに更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
< 2.8.1.0 |
2.8.1.0 |
Original description The description as published by the source.
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure session management vulnerability that allows attackers to extract or intercept unencrypted m_session_id tokens stored in application backups, which remain valid for ten years. Attackers can use a stolen session token to read and modify the victim's account or delete the account's authentication record, preventing the legitimate owner from logging in again.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com