Descripción
La API en la nube de VitaFit anterior al 2026-10-30 contenía una vulnerabilidad de control de acceso defectuoso que permite a cualquier usuario autenticado obtener credenciales temporales de AWS al llamar al endpoint POST /front/user/s3/token/. Los atacantes pueden usar estas credenciales con un alcance indebido para listar el bucket de almacenamiento compartido y leer o sobrescribir archivos almacenados de otros usuarios, lo que permite el acceso y la manipulación no autorizados de datos entre usuarios.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- VitaFit Afectadas: anteriores a 2026-10-30
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Exploit publicadogithub.com/je-lv/vitafit-security-research
- Referencia en play.google.complay.google.com/store/apps/details
- Aviso de vulncheck.comvulncheck.com/advisories/vitafit-cloud-api-broken-access-control-via-…
Ver el texto original en inglés (CVE.org)
VitaFit Cloud API Broken Access Control via S3 Token Endpoint
VitaFit cloud API before 2026-10-30 contained a broken access control vulnerability that allows any authenticated user to obtain temporary AWS credentials by calling the POST /front/user/s3/token/ endpoint. Attackers can use these improperly scoped credentials to list the shared storage bucket and read or overwrite other users' stored files, enabling unauthorized cross-user data access and manipulation.