VitaFit cloud API before 2026-10-30 contained a broken access control vulnerability that allows...

CVE-2026-54378 SecPulse初出 11月5日 7:09

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
Shenzhen Shine Industrial Co., Ltd.	VitaFit	2026-10-30 未満	2026-10-30

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

VitaFit cloud API before 2026-10-30 contained a broken access control vulnerability that allows any authenticated user to obtain temporary AWS credentials by calling the POST /front/user/s3/token/ endpoint. Attackers can use these improperly scoped credentials to list the shared storage bucket and read or overwrite other users' stored files, enabling unauthorized cross-user data access and manipulation.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

基本の情報

CVSS v3: 重大 9.6; CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
CVSS v4: 重大 9.3; CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
公開日: 2026年11月5日
SecPulse初出: 11月5日 7:09
GHSA: GHSA-jr4h-546g-564w
CWE: CWE-522

NVD GitHub Advisory

タグ(クリックで解説)

CWE

CWE-522

すべて

Shenzhen Shine Industrial Co Ltd Vitafit

解説記事

解説

検知ソース

NIST National Vulnerability Database0:15
GitHub Security Advisories (Global)11月5日 9:33
CVE.org (CVE Program・cvelistV5)11月5日 7:09