CVE-2026-109566
KrytyczneCVSS 9.8Streszczenie
Rapyd Admin w wersjach od 9.0.0 do przed 9.20.0 zawiera twardo zakodowane poświadczenia, które pozwalają zdalnym nieuwierzytelnionym atakującym uzyskać dostęp super-administratora przez konto admin@laravel z hasłem admin. Konto jest tworzone przez instalator i cicho odtwarzane przy każdym uruchomieniu rpd:make, umożliwiając atakującym ominięcie autoryzacji i ograniczeń dzierżawy.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad aplikacją, w tym dostęp do wszystkich danych i funkcji administracyjnych, co stanowi poważne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zaktualizuj Rapyd Admin do wersji 9.20.0 lub nowszej. Natychmiast zmień lub usuń domyślne konto admin@laravel i wdróż silne uwierzytelnianie.
Inne podatności w Rapyd Admin
Zobacz wszystkie- CVE-2026-109567Wysokie
Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność niewłaściwego zarządzania uprawnieniami w komponencie Livewire UsersEdit, która pozwala użytkownikom z uprawnieniem edycji użytkowników przypisać sobie rolę administratora. Atakujący posiadający role takie jak domyślna rola operatora może przesłać identyfikator roli administratora dla własnego konta, znosząc ograniczenia dzierżawy, omijając autoryzację na poziomie rekordów i umożliwiając podszywanie się.
- CVE-2026-109565Średnie
Rapyd Admin od wersji 9.4.0 przed 9.20.0 zawiera podatność przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez samodzielnie zarejestrowane nazwy wyświetlane. Atakujący mogą zarejestrować się z nazwą HTML lub JavaScript renderowaną bez escapowania w filtrze autora dziennika aktywności, wykonując skrypt w sesji administratora.
Oryginalny opis (angielski, źródło NVD)
Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin. The account is seeded by the setup installer and silently re-created on every rpd:make run, letting attackers log in as a global super admin bypassing per-record authorization and tenant scoping.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS