CVSS 9.0 以上
CVE-2026-54384
要約
2026-10-30より前のVitaFitクラウドAPIには認証回避の脆弱性があり、リモートの攻撃者は、IDプロバイダーによる所有証明なしに、連携済みのGoogleまたはFacebookのアカウント識別子をPOST /front/login/sns/エンドポイントへ送信することで、被害者アカウントの完全なセッションを取得できる。攻撃者はアカウント列挙で露出した識別子を使ってログインを偽装し、被害者のプロフィールの閲覧と変更、およびアカウントの認証レコードの削除ができ、正規ユーザーはログインできなくなる。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
VitaFit cloud APIGoogleFacebook
このタグの新着を RSS で受け取る: VitaFit cloud API / Google / Facebook(使い方)
判定の理由
- CVSS 9.0 以上