CVE-2026-54381: falha de alta gravidade em Shenzhen Shine Industrial Co., Ltd. VitaFit
VitaFit Cloud API Storage Bucket Unauthenticated Access Information Disclosure
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
38Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 8.7
VitaFit cloud API before 2026-10-30 contained a misconfigured cloud storage bucket vulnerability that allows unauthenticated attackers to list and download stored files without authentication. Attackers can enumerate the publicly accessible bucket containing 129,947 objects, including 126,881 user-uploaded profile images, to access sensitive personal data without credentials.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Shenzhen Shine Industrial Co., Ltd. · VitaFitPoCs públicas encontradas — 1
cve_referencegithub.com/je-lv/vitafit-security-researchnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Shenzhen Shine Industrial Co., Ltd. VitaFit
No mesmo produto, das mais perigosas para as menos.
CVE-2026-54384CRITICALVitaFit Cloud API Authentication Bypass via POST /front/login/sns/EPSS —CVE-2026-54383HIGHVitaFit Cloud API Excessive Data Exposure via relation/search EndpointEPSS —CVE-2026-54382MEDIUMVitaFit Cloud API AWS IAM Misconfiguration via Cognito S3 AccessEPSS —CVE-2026-54380MEDIUMVitaFit Cloud API Stored XSS via SVG File UploadEPSS —CVE-2026-54378CRITICALVitaFit Cloud API Broken Access Control via S3 Token EndpointEPSS —CVE-2026-54377MEDIUMVitaFit Cloud API IDOR via profile_id EndpointsEPSS —