CVE-2026-111329

KrytyczneCVSS 9.8

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

JuggleIM im-server do wersji 1.8.16 zawiera domyślne poświadczenia administratora admin/123456, które pozwalają nieuwierzytelnionym zdalnym atakującym na dostęp do konsoli administracyjnej na porcie 8090. Atakujący mogą zalogować się jako administrator, nawet po usunięciu konta, ponieważ CheckLogin odtwarza je, aby kontrolować aplikacje dzierżawcy i sekrety aplikacji.

Ocena ryzyka

Atakujący może uzyskać pełną kontrolę administracyjną nad systemem, w tym zarządzać aplikacjami i sekretami. Luka jest łatwa do wykorzystania, jeśli port 8090 jest dostępny.

Rekomendacja

Natychmiast zmień domyślne poświadczenia administratora i ogranicz dostęp do portu 8090. Zaktualizuj oprogramowanie do wersji, która nie zawiera domyślnych poświadczeń.

Inne podatności w JuggleIM im-server

CVE-2026-111330Średnie
JuggleIM im-server do wersji 1.8.16 przechowuje hasła konsoli administracyjnej jako niesolone skróty SHA-1 (funkcja tools.SHA1 w services/accountservice.go). Atakujący, który uzyska dostęp do tabeli kont poprzez bazę danych lub kopie zapasowe, może złamać hasła konsoli za pomocą gotowych tablic lub brute force na GPU.

Oryginalny opis (angielski, źródło NVD)

JuggleIM im-server through 1.8.16 ships default administrator credentials admin/123456 that allow unauthenticated remote attackers to access the admin console on port 8090. Attackers can log in as administrator, even after account deletion since CheckLogin recreates it, to control tenant applications and app secrets.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS