Shenzhen Shine Industrial VitaFit
VitaFit cloud API: accesso all'account di altri senza verifica del login Google o Facebook
Il problema, secondo i dati ufficiali
- L'API cloud di Shenzhen Shine Industrial VitaFit accetta sull'endpoint POST /front/login/sns/ l'identificativo di un account Google o Facebook collegato, senza chiedere al provider di identità alcuna prova che appartenga a chi lo invia. Così un attaccante può ottenere una sessione completa sull'account della vittima.
- Con un identificativo ricavato tramite enumerazione degli account, l'attaccante può falsificare il login, leggere e modificare il profilo della vittima e cancellare il record di autenticazione dell'account, impedendo all'utente legittimo di accedere.
- Si sfrutta via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
- La scheda raccoglie 2 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- Aggiorna VitaFit alla versione 2026-10-30 o successiva.
- Se il servizio è raggiungibile da internet e non puoi aggiornare subito, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- VitaFit: prima della 2026-10-30
Fonti ufficiali
- github.com — riferimento
- play.google.com — riferimento
- www.vulncheck.com — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
VitaFit cloud API before 2026-10-30 contained an authentication bypass vulnerability that allows remote attackers to obtain a full session for a victim's account by submitting a linked Google or Facebook account identifier to the POST /front/login/sns/ endpoint without providing proof of ownership from the identity provider. Attackers can forge a login using an identifier exposed through account enumeration to read and modify the victim's profile and delete the account's authentication record, preventing the legitimate user from logging in.
Non sai se ti riguarda?
Se usi Shenzhen Shine Industrial VitaFit e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 5 novembre 2026. Prima di intervenire verifica l'avviso del produttore.