Propust u prijavi na VitaFit omogućavao je preuzimanje povezanog naloga
VitaFit je na serveru ispravio proveru identiteta pri prijavi preko Google-a ili Facebook-a. Istraživač je na svom test nalogu pokazao da je poznavanje identifikatora bilo dovoljno za dobijanje nove sesije.
Šta se desilo?
VitaFit je prihvatao identifikator povezanog naloga kao dokaz identiteta. Istraživač je sa drugog uređaja dobio pristup svom test nalogu povezanom sa Google-om. Aplikacija za Android koristila je isti postupak i za Facebook.
Koga pogađa?
Pogođeni su bili korisnici koji su povezali VitaFit sa jednim od ova dva servisa. Napadaču je bio potreban identifikator povezanog naloga, koji je mogao da pribavi preko zasebnog propusta u pretrazi korisnika.
Kako se zaštititi?
- Proverite da li su podaci na vašem VitaFit profilu tačni.
- Ako izgubite pristup ili primetite tuđe izmene, obratite se VitaFit podršci preko zvanične aplikacije.
- U prijavi podršci navedite vreme promene i zatražite proveru aktivnih sesija.
Tehnički detalji
Propust CVE-2026-54384 nalazio se u funkciji /front/login/sns/. Server je izdavao sesiju bez provere potvrde koju šalje pružalac identiteta. VulnCheck navodi CVSS 4.0 ocenu 9,3 i CVSS 3.1 ocenu 9,8. CVE obuhvata stanje servisa pre 30. oktobra 2026. Istraživač je ponovnim testom potvrdio ispravku.
Zašto je važno?
Sa tako dobijenom sesijom bilo je moguće čitati i menjati profil, pa čak i obrisati zapis potreban vlasniku za narednu prijavu.
Preporuka Sajber Radara
Ako ste primetili izmene, sačuvajte podatke o njima pre oporavka naloga. Za proveru incidenta važna je evidencija pristupa samom VitaFit profilu.