VitaFit Cloud APIの脆弱性、認証済みユーザーが他人のS3オブジェクトを上書きできる
Summary
VitaFitのクラウドAPIに、認証済みの攻撃者が共有バケット全体にs3:PutObjectを実行できる脆弱性が見つかりました。攻撃者は他のユーザーのオブジェクトを上書きでき、元の内容が削除保護を経ずに失われるおそれがあります。影響は2026年10月30日より前の版で、修正版は2026年10月30日版です。修正版への更新を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VitaFitのクラウドAPIに、認証済みの攻撃者が共有バケット全体にs3:PutObjectを実行できる脆弱性が見つかりました。攻撃者は他のユーザーのオブジェクトを上書きでき、元の内容が削除保護を経ずに失われるおそれがあります。影響は2026年10月30日より前の版で、修正版は2026年10月30日版です。修正版への更新を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Shenzhen Shine Industrial Co., Ltd. | VitaFit |
< 2026-10-30 |
2026-10-30 |
Original description The description as published by the source.
VitaFit cloud API before 2026-10-30 contained an improper access control vulnerability in its Cognito-issued AWS role that allows authenticated attackers to perform s3:PutObject operations across the entire shared bucket instead of being restricted to their own folder. Attackers can overwrite other users' objects in the shared S3 bucket using credentials obtained via CVE-2026-54378, destroying original content without triggering deletion protections.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com