CVE-2026-54447
Açıklama
garminconnect, istatistikleri getiren ve etkinlikleri yöneten Garmin Connect için bir Python 3 API sarmalayıcıdır. 0.3.5 sürümünden önce, garminconnect/client.py Client.dump, OAuth belirteç dizinini ve garmin_tokens.json dosyasını açıkça yalnızca sahibine özel modlar olmadan oluşturur; bu nedenle 022 gibi izin verici bir umask, dizin modunu 0755 ve belirteç dosyası modunu 0644 olarak bırakabilir. garmin_tokens.json, di_refresh_token içerir ve paylaşımlı bir Linux veya macOS ana bilgisayarındaki başka bir ayrıcalıksız kullanıcı, belirteci okuyarak kurbanın sağlık, fitness, etkinlik ve cihaz verileri dahil olmak üzere Garmin Connect hesabına kalıcı erişim sağlayabilir. Garmin.login tokenstore yolu etkilenmektedir ve önceden mevcut olan gevşek izinli bir belirteç dosyası, yeniden yazılana veya manuel olarak kısıtlanana kadar açık kalmaya devam eder. Bu sorun 0.3.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- garminconnect0.3.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| garminconnectPyPI | v < 0.3.5 | 0.3.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.