VitaFit Cloudの認証不要でストレージ内のファイルを閲覧・取得される脆弱性
概要
VitaFit Cloud APIのクラウドストレージ設定の不備により、認証なしで外部から保存ファイルを一覧表示・ダウンロードされるおそれがあります。公開バケットには129,947件のオブジェクトがあり、うち126,881件はユーザーがアップロードしたプロフィール画像とされています。2026年10月30日より前のVitaFitが対象で、2026年10月30日付で修正版が公開されているため、情報を確認のうえ速やかに更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
VitaFit Cloud APIのクラウドストレージ設定の不備により、認証なしで外部から保存ファイルを一覧表示・ダウンロードされるおそれがあります。公開バケットには129,947件のオブジェクトがあり、うち126,881件はユーザーがアップロードしたプロフィール画像とされています。2026年10月30日より前のVitaFitが対象で、2026年10月30日付で修正版が公開されているため、情報を確認のうえ速やかに更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
2026-10-30 未満 |
2026-10-30 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
VitaFit cloud API before 2026-10-30 contained a misconfigured cloud storage bucket vulnerability that allows unauthenticated attackers to list and download stored files without authentication. Attackers can enumerate the publicly accessible bucket containing 129,947 objects, including 126,881 user-uploaded profile images, to access sensitive personal data without credentials.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com