CVE-2026-54383 Exposición excesiva de datos en el endpoint relation/search de VitaFit Cloud API

Afectados

• Shenzhen Shine Industrial Co., Ltd. VitaFit

  hasta antes de 2026-10-30

Qué hacer

1. Verificá si usás VitaFit y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosBajos
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadNinguna
• DisponibilidadNinguna

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosBajos
• Interacción del usuarioNinguna
• Confidencialidad (sistema vulnerable)Alta
• Integridad (sistema vulnerable)Ninguna
• Disponibilidad (sistema vulnerable)Ninguna
• Confidencialidad (sistemas posteriores)Ninguna
• Integridad (sistemas posteriores)Ninguna
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

VitaFit cloud API before 2026-10-30 contained an excessive data exposure vulnerability that allows any authenticated user to query the GET /front/relation/search/ endpoint and retrieve PII and health-related profile information for user records. Attackers can enumerate the user directory using overlapping alphanumeric search terms to harvest identifiers, emails, birthdays, gender, height, weight goals, phone numbers, and Firebase UIDs.

Referencias (3)

• github.com/je-lv/vitafit-security-research
• play.google.com/store/apps/details?id=com.vt.vitafit
• www.vulncheck.com/advisories/vitafit-cloud-api-excessive-data-exposure-via-relation-searc…

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.