https://alertas.dupin.com.ar/fabricante/shenzhen-shine-industrial-co-ltd/Alertas de vulnerabilidades de Shenzhen Shine Industrial Co., Ltd..esThu, 05 Nov 2026 00:44:57 +000010https://alertas.dupin.com.ar/cve/CVE-2026-54384/tg:63397Thu, 05 Nov 2026 00:44:57 +0000VulnerabilidadUn atacante remoto podía obtener una sesión completa de la cuenta de una víctima enviando al endpoint POST /front/login/sns/ un identificador de cuenta de Google o Facebook vinculada, sin prueba de propiedad del proveedor de identidad. Permite leer y modificar el perfil de la víctima y borrar el registro de autenticación de la cuenta.https://alertas.dupin.com.ar/cve/CVE-2026-54381/tg:63396Thu, 05 Nov 2026 00:44:53 +0000VulnerabilidadUn bucket de almacenamiento en la nube mal configurado permitía a atacantes no autenticados listar y descargar archivos sin credenciales. El bucket contenía 129.947 objetos, incluidos 126.881 imágenes de perfil subidas por usuarios, con datos personales sensibles.https://alertas.dupin.com.ar/cve/CVE-2026-54383/tg:63395Thu, 05 Nov 2026 00:44:53 +0000VulnerabilidadCualquier usuario autenticado podía consultar el endpoint GET /front/relation/search/ y obtener información personal y de salud de registros de usuarios. Permite enumerar el directorio de usuarios y recolectar identificadores, correos, fechas de nacimiento, género, altura, objetivos de peso, teléfonos y UIDs de Firebase.https://alertas.dupin.com.ar/cve/CVE-2026-54382/tg:63394Thu, 05 Nov 2026 00:44:52 +0000VulnerabilidadEl rol de AWS emitido por Cognito permitía a atacantes autenticados realizar operaciones s3:PutObject en todo el bucket compartido en lugar de limitarse a su propia carpeta. Permite sobrescribir objetos de otros usuarios y destruir contenido original sin activar las protecciones de borrado.https://alertas.dupin.com.ar/cve/CVE-2026-54372/tg:63375Wed, 04 Nov 2026 23:54:21 +0000VulnerabilidadLa aplicación usa un X509TrustManager que confía en todos los certificados y un verificador de hostname que acepta cualquier nombre, lo que permite a atacantes de red interceptar y modificar tráfico HTTPS mediante man-in-the-middle, capturar sesiones y datos de salud, y eliminar el registro de autenticación de la cuenta. Corregido en 2.8.1.0.https://alertas.dupin.com.ar/cve/CVE-2026-54373/tg:63374Wed, 04 Nov 2026 23:54:20 +0000VulnerabilidadLa ausencia de una configuración de seguridad de red de Android permite a atacantes en redes no confiables interceptar o modificar comunicaciones HTTP sin cifrar entre la app y el servidor, manipulando el contenido de soporte mostrado al usuario. Corregido en 2.8.1.0.https://alertas.dupin.com.ar/cve/CVE-2026-54374/tg:63373Wed, 04 Nov 2026 23:54:16 +0000VulnerabilidadLa aplicación contiene credenciales codificadas que pueden extraerse descompilando el APK, incluidas claves de integración de WeChat, Tencent QQ y Fitbit, para abusar de los registros de aplicaciones de terceros activos. Corregido en 2.8.1.0.https://alertas.dupin.com.ar/cve/CVE-2026-54375/tg:63372Wed, 04 Nov 2026 23:54:15 +0000VulnerabilidadLos tokens m_session_id se almacenan sin cifrar en las copias de seguridad de la aplicación y siguen siendo válidos durante diez años. Un atacante que los extraiga o intercepte puede leer y modificar la cuenta de la víctima o eliminar su registro de autenticación, impidiendo el inicio de sesión del propietario. Corregido en 2.8.1.0.https://alertas.dupin.com.ar/cve/CVE-2026-54376/tg:63369Wed, 04 Nov 2026 23:54:13 +0000VulnerabilidadUna aplicación maliciosa puede registrar el mismo esquema de callback (vitafit://vtio.cn) e interceptar el token de autorización de Fitbit de 30 días con alcance de peso entregado en la URL, para leer, crear y eliminar registros de peso y grasa corporal de la víctima mediante la Fitbit Body API. Corregido en 2.8.1.0.https://alertas.dupin.com.ar/cve/CVE-2026-54377/tg:63367Wed, 04 Nov 2026 23:54:08 +0000VulnerabilidadLa API permitía a atacantes autenticados acceder a datos de otro usuario enviando un user_id o profile_id distinto a endpoints como GET /front/profile/{profile_id}/report/ y GET /front/profile/{profile_id}/body_index_per_day/. Combinando relaciones predecibles y una debilidad de enumeración de cuentas, se podían leer correo, perfil, informe de composición corporal e historial de mediciones a escala. Corregido antes del 2026-10-30.https://alertas.dupin.com.ar/cve/CVE-2026-54378/tg:63366Wed, 04 Nov 2026 23:54:08 +0000VulnerabilidadCualquier usuario autenticado podía obtener credenciales temporales de AWS llamando a POST /front/user/s3/token/. Con esas credenciales mal delimitadas se podía listar el bucket compartido y leer o sobrescribir archivos de otros usuarios. Corregido antes del 2026-10-30.https://alertas.dupin.com.ar/cve/CVE-2026-54380/tg:63364Wed, 04 Nov 2026 23:54:06 +0000VulnerabilidadLa API permitía a atacantes autenticados subir una imagen SVG con JavaScript malicioso al bucket compartido. Al no restringir scripts ni forzar descargas para contenido image/svg+xml, el JavaScript se ejecuta cuando la víctima abre el archivo mediante navegación directa en el navegador. Corregido antes del 2026-10-30.