Descripción
La API en la nube de VitaFit anterior al 2026-10-30 contenía una vulnerabilidad de omisión de autenticación que permite a atacantes remotos obtener una sesión completa en la cuenta de una víctima al enviar un identificador de cuenta de Google o Facebook vinculada al endpoint POST /front/login/sns/ sin aportar prueba de titularidad del proveedor de identidad. Los atacantes pueden falsificar un inicio de sesión usando un identificador expuesto mediante enumeración de cuentas para leer y modificar el perfil de la víctima y eliminar el registro de autenticación de la cuenta, lo que impide que el usuario legítimo inicie sesión.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- VitaFit Afectadas: anteriores a 2026-10-30
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Exploit publicadogithub.com/je-lv/vitafit-security-research
- Referencia en play.google.complay.google.com/store/apps/details
- Aviso de vulncheck.comvulncheck.com/advisories/vitafit-cloud-api-authentication-bypass-via-…
Ver el texto original en inglés (CVE.org)
VitaFit Cloud API Authentication Bypass via POST /front/login/sns/
VitaFit cloud API before 2026-10-30 contained an authentication bypass vulnerability that allows remote attackers to obtain a full session for a victim's account by submitting a linked Google or Facebook account identifier to the POST /front/login/sns/ endpoint without providing proof of ownership from the identity provider. Attackers can forge a login using an identifier exposed through account enumeration to read and modify the victim's profile and delete the account's authentication record, preventing the legitimate user from logging in.