CVE-2026-54380 XSS almacenado por carga de SVG en la API de VitaFit Cloud

Afectados

• Shenzhen Shine Industrial Co., Ltd. VitaFit

  hasta antes de 2026-10-30

Qué hacer

1. Verificá si usás VitaFit y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosBajos
• Interacción del usuarioRequerida
• AlcanceCambiado
• ConfidencialidadBaja
• IntegridadBaja
• DisponibilidadNinguna

CVSS 4.0 · 5.1 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosBajos
• Interacción del usuarioPasiva
• Confidencialidad (sistema vulnerable)Ninguna
• Integridad (sistema vulnerable)Ninguna
• Disponibilidad (sistema vulnerable)Ninguna
• Confidencialidad (sistemas posteriores)Baja
• Integridad (sistemas posteriores)Baja
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

VitaFit cloud API before 2026-10-30 contained a stored cross-site scripting vulnerability that allows authenticated attackers to upload an SVG image containing malicious JavaScript to the shared storage bucket. Attackers can exploit the application's failure to restrict scripts or force downloads for image/svg+xml content, causing the JavaScript to execute when a victim opens the file via direct browser navigation.

Referencias (3)

• github.com/je-lv/vitafit-security-research
• play.google.com/store/apps/details?id=com.vt.vitafit
• www.vulncheck.com/advisories/vitafit-cloud-api-stored-xss-via-svg-file-upload

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.