VitaFit Cloud APIの脆弱性、認証済みユーザーが他人のS3オブジェクトを上書きできる
概要
VitaFitのクラウドAPIに、認証済みの攻撃者が共有バケット全体にs3:PutObjectを実行できる脆弱性が見つかりました。攻撃者は他のユーザーのオブジェクトを上書きでき、元の内容が削除保護を経ずに失われるおそれがあります。影響は2026年10月30日より前の版で、修正版は2026年10月30日版です。修正版への更新を確認してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
VitaFitのクラウドAPIに、認証済みの攻撃者が共有バケット全体にs3:PutObjectを実行できる脆弱性が見つかりました。攻撃者は他のユーザーのオブジェクトを上書きでき、元の内容が削除保護を経ずに失われるおそれがあります。影響は2026年10月30日より前の版で、修正版は2026年10月30日版です。修正版への更新を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
2026-10-30 未満 |
2026-10-30 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
VitaFit cloud API before 2026-10-30 contained an improper access control vulnerability in its Cognito-issued AWS role that allows authenticated attackers to perform s3:PutObject operations across the entire shared bucket instead of being restricted to their own folder. Attackers can overwrite other users' objects in the shared S3 bucket using credentials obtained via CVE-2026-54378, destroying original content without triggering deletion protections.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com