CVE-2026-54381 Exposición de información por acceso no autenticado al bucket de almacenamiento de VitaFit Cloud API

Afectados

• Shenzhen Shine Industrial Co., Ltd. VitaFit

  hasta antes de 2026-10-30

Qué hacer

1. Verificá si usás VitaFit y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadNinguna
• DisponibilidadNinguna

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosNinguno
• Interacción del usuarioNinguna
• Confidencialidad (sistema vulnerable)Alta
• Integridad (sistema vulnerable)Ninguna
• Disponibilidad (sistema vulnerable)Ninguna
• Confidencialidad (sistemas posteriores)Ninguna
• Integridad (sistemas posteriores)Ninguna
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

VitaFit cloud API before 2026-10-30 contained a misconfigured cloud storage bucket vulnerability that allows unauthenticated attackers to list and download stored files without authentication. Attackers can enumerate the publicly accessible bucket containing 129,947 objects, including 126,881 user-uploaded profile images, to access sensitive personal data without credentials.

Referencias (3)

• github.com/je-lv/vitafit-security-research
• play.google.com/store/apps/details?id=com.vt.vitafit
• www.vulncheck.com/advisories/vitafit-cloud-api-storage-bucket-unauthenticated-access-info…

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.