Falha crítica no VitaFit permite sequestrar contas de saúde com um ID de login social

Uma vulnerabilidade crítica recém-divulgada na API em nuvem do VitaFit está acendendo o alerta para quem usa o aplicativo de fitness e saúde. Segundo o CVE-2026-54384, atacantes podiam obter uma sessão completa da conta de uma vítima ao enviar um identificador de conta vinculada do Google ou Facebook para o endpoint POST /front/login/sns/ sem comprovar a propriedade junto ao provedor de identidade.

A falha abre caminho para alterações de perfil, manipulação da conta e até exclusão dos registros de autenticação, o que pode bloquear o dono legítimo de seus próprios dados de saúde. Usuários do VitaFit devem atualizar o app e revisar a segurança da conta imediatamente, enquanto desenvolvedores precisam reforçar a validação de propriedade e o limite de tentativas em endpoints sensíveis de login.