VitaFit Cloudの認証不要でストレージ内のファイルを閲覧・取得される脆弱性
Summary
VitaFit Cloud APIのクラウドストレージ設定の不備により、認証なしで外部から保存ファイルを一覧表示・ダウンロードされるおそれがあります。公開バケットには129,947件のオブジェクトがあり、うち126,881件はユーザーがアップロードしたプロフィール画像とされています。2026年10月30日より前のVitaFitが対象で、2026年10月30日付で修正版が公開されているため、情報を確認のうえ速やかに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VitaFit Cloud APIのクラウドストレージ設定の不備により、認証なしで外部から保存ファイルを一覧表示・ダウンロードされるおそれがあります。公開バケットには129,947件のオブジェクトがあり、うち126,881件はユーザーがアップロードしたプロフィール画像とされています。2026年10月30日より前のVitaFitが対象で、2026年10月30日付で修正版が公開されているため、情報を確認のうえ速やかに更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
< 2026-10-30 |
2026-10-30 |
Original description The description as published by the source.
VitaFit cloud API before 2026-10-30 contained a misconfigured cloud storage bucket vulnerability that allows unauthenticated attackers to list and download stored files without authentication. Attackers can enumerate the publicly accessible bucket containing 129,947 objects, including 126,881 user-uploaded profile images, to access sensitive personal data without credentials.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com