CVE-2026-54384: bypass autenticazione in VitaFit API

CVE-2026-54384 è un bypass dell'autenticazione di gravità critica in VitaFit cloud API. La vulnerabilità risiede nell'endpoint POST /front/login/sns/, utilizzato per il login via Google e Facebook. Il servizio accetta identificatori di account social senza verificare che l'attaccante sia il proprietario legittimo presso il provider di identità. Un aggressore che conosca l'identificatore di un'altra persona (facilmente reperibile tramite enumerazione di account) può acquisire una sessione completa e autenticata, bypassando interamente il meccanismo di autenticazione.

L'impatto è critico: con una sessione valida, l'attaccante legge e modifica il profilo della vittima, accede a dati personali e soprattutto elimina i record di autenticazione, bloccando permanentemente l'utente legittimo dall'accesso al proprio account. Il punteggio CVSS 9,8 riflette l'assenza di barriere tecniche e il danno massimo su confidenzialità, integrità e disponibilità. La vulnerabilità è stata pubblicata su NVD il 2026-11-04 con patch disponibile dal 2026-10-30. Non è segnalato exploit pubblico, ma la comunità tecnica ne discute attivamente.

Per la difesa: verificare immediatamente quale versione di VitaFit cloud API è in produzione e applicare l'aggiornamento con massima priorità se antecedente al 2026-10-30. Esaminare i log di accesso e autenticazione dell'endpoint /front/login/sns/ degli ultimi giorni per rilevare tentativi di login anomali o sessioni non autorizzate. Monitorare i profili utente per azioni sospette eseguite negli ultimi giorni. Se possibile, considerare la disabilitazione temporanea del login social fino a completa verifica della patch e ispezione dei sistemi.