Shenzhen Shine Industrial VitaFit
VitaFit cloud API: credenziali AWS temporanee ottenibili da qualsiasi utente
Il problema, secondo i dati ufficiali
- Nell'API cloud di Shenzhen Shine Industrial VitaFit c'è un errore di controllo degli accessi: chiamando l'endpoint POST /front/user/s3/token/ si ottengono credenziali AWS temporanee con permessi troppo ampi.
- Con queste credenziali si può elencare il bucket di archiviazione condiviso e leggere o sovrascrivere i file salvati da altri utenti, con accesso e modifica non autorizzati ai dati tra utenti diversi.
- Può sfruttarla qualsiasi utente autenticato, anche con pochi permessi, via rete (quindi anche da internet se il servizio è esposto).
Cosa fare
- Aggiorna VitaFit alla versione 2026-10-30 o successiva.
- Se il servizio è raggiungibile da internet e non puoi aggiornare subito, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- VitaFit: prima della 2026-10-30
Fonti ufficiali
- github.com — riferimento
- play.google.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
VitaFit cloud API before 2026-10-30 contained a broken access control vulnerability that allows any authenticated user to obtain temporary AWS credentials by calling the POST /front/user/s3/token/ endpoint. Attackers can use these improperly scoped credentials to list the shared storage bucket and read or overwrite other users' stored files, enabling unauthorized cross-user data access and manipulation.
Non sai se ti riguarda?
Se usi Shenzhen Shine Industrial VitaFit e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 4 novembre 2026. Prima di intervenire verifica l'avviso del produttore.