CVE-2026-54376: falha de alta gravidade em Shenzhen Shine Industrial Co., Ltd. VitaFit
VitaFit Android < 2.8.1.0 Custom URI Scheme Token Hijacking
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
38Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 8.2
VitaFit Android application (com.vt.vitafit) before 2.8.1.0 contains an insecure custom URI scheme vulnerability that allows a malicious application to intercept Fitbit login tokens by registering the same callback scheme (vitafit://vtio.cn). Attackers can capture the 30-day Fitbit authorization token with weight scope delivered in the callback URL to read, create, and delete the victim's weight and body-fat records via the Fitbit Body API.
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N
Produtos afetados
Shenzhen Shine Industrial Co., Ltd. · VitaFitPoCs públicas encontradas — 1
cve_referencegithub.com/je-lv/vitafit-security-researchnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Shenzhen Shine Industrial Co., Ltd. VitaFit
No mesmo produto, das mais perigosas para as menos.
CVE-2026-54384CRITICALVitaFit Cloud API Authentication Bypass via POST /front/login/sns/EPSS —CVE-2026-54383HIGHVitaFit Cloud API Excessive Data Exposure via relation/search EndpointEPSS —CVE-2026-54382MEDIUMVitaFit Cloud API AWS IAM Misconfiguration via Cognito S3 AccessEPSS —CVE-2026-54381HIGHVitaFit Cloud API Storage Bucket Unauthenticated Access Information DisclosureEPSS —CVE-2026-54380MEDIUMVitaFit Cloud API Stored XSS via SVG File UploadEPSS —CVE-2026-54378CRITICALVitaFit Cloud API Broken Access Control via S3 Token EndpointEPSS —