Vložené pověření v aplikaci Virtuagym

Podle INCIBE je v backendovém API a mobilní aplikaci Virtuagym (platforma pro fitness a zdraví) zranitelnost typu vložené pověření umožňující neoprávněné generování QR kódů fyzického přístupu. Útočník s přístupem k hodnotě 'badge_number' a možností reverzního inženýrství APK by mohl vytvářet platné QR kódy neomezeně, i po změně hesla nebo odhlášení uživatele; zranitelnosti byla přiřazena identifikace CVE-2026-12587 se skóre CVSS 8,6.

Číst originál na INCIBE-CERT → originál: Uso de credenciales embebidas en Virtuagym

CZ · EN/orig

Virtuagym zdravotnictví obchod ES

CVE v události 1

CVE	hodnocení	KEV	EPSS
CVE-2026-12587	8.6 4.0 · INCIBE	–	0.00

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 8.6.

Nadpisy a shrnutí 1 zprávy generovány strojově za 0,0032 USD.