CVE-2026-54376: fallo de gravedad alta en Shenzhen Shine Industrial Co., Ltd. VitaFit
VitaFit Android < 2.8.1.0 Custom URI Scheme Token Hijacking
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
38Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 8.2
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure custom URI scheme vulnerability that allows a malicious application to intercept Fitbit login tokens by registering the same callback scheme (vitafit://vtio.cn). Attackers can capture the 30-day Fitbit authorization token with weight scope delivered in the callback URL to read, create, and delete the victim's weight and body-fat records via the Fitbit Body API.
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N
Productos afectados
Shenzhen Shine Industrial Co., Ltd. · VitaFitPoCs públicas encontradas — 1
cve_referencegithub.com/je-lv/vitafit-security-researchno verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Shenzhen Shine Industrial Co., Ltd. VitaFit
En el mismo producto, de las más peligrosas a las menos.
CVE-2026-54384CRITICALVitaFit Cloud API Authentication Bypass via POST /front/login/sns/EPSS —CVE-2026-54383HIGHVitaFit Cloud API Excessive Data Exposure via relation/search EndpointEPSS —CVE-2026-54382MEDIUMVitaFit Cloud API AWS IAM Misconfiguration via Cognito S3 AccessEPSS —CVE-2026-54381HIGHVitaFit Cloud API Storage Bucket Unauthenticated Access Information DisclosureEPSS —CVE-2026-54380MEDIUMVitaFit Cloud API Stored XSS via SVG File UploadEPSS —CVE-2026-54378CRITICALVitaFit Cloud API Broken Access Control via S3 Token EndpointEPSS —