VitaFit Androidの脆弱性、悪意あるアプリに体重データの認証トークンを奪われるおそれ
Summary
VitaFit Androidの2.8.1.0より前のバージョンには、悪意あるアプリが同じ戻り先のURIスキームを登録して、Fitbitのログイン用トークンを横取りできる脆弱性があります。横取りされると、体重や体脂肪の記録を読み取られたり、作成・削除されたりするおそれがあります。修正版の2.8.1.0が公開されているため、Androidアプリを更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VitaFit Androidの2.8.1.0より前のバージョンには、悪意あるアプリが同じ戻り先のURIスキームを登録して、Fitbitのログイン用トークンを横取りできる脆弱性があります。横取りされると、体重や体脂肪の記録を読み取られたり、作成・削除されたりするおそれがあります。修正版の2.8.1.0が公開されているため、Androidアプリを更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
< 2.8.1.0 |
2.8.1.0 |
Original description The description as published by the source.
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure custom URI scheme vulnerability that allows a malicious application to intercept Fitbit login tokens by registering the same callback scheme (vitafit://vtio.cn). Attackers can capture the 30-day Fitbit authorization token with weight scope delivered in the callback URL to read, create, and delete the victim's weight and body-fat records via the Fitbit Body API.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com