CVE-2026-111330

ŚrednieCVSS 5.9

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

JuggleIM im-server do wersji 1.8.16 przechowuje hasła konsoli administracyjnej jako niesolone skróty SHA-1 (funkcja tools.SHA1 w services/accountservice.go). Atakujący, który uzyska dostęp do tabeli kont poprzez bazę danych lub kopie zapasowe, może złamać hasła konsoli za pomocą gotowych tablic lub brute force na GPU.

Ocena ryzyka

Wyciek kopii zapasowej lub dostępu do bazy danych pozwala na szybkie odzyskanie haseł administratorów i przejęcie konsoli zarządzania. Niesolone SHA-1 jest podatne na ataki słownikowe i rainbow tables.

Rekomendacja

Zaktualizuj im-server do wersji nowszej niż 1.8.16, jeśli jest dostępna, oraz zmień hashing na bcrypt/Argon2 z solą. Natychmiast zmień hasła konsoli administracyjnej i ogranicz dostęp do kopii zapasowych bazy danych.

Inne podatności w JuggleIM im-server

CVE-2026-111329Krytyczne
JuggleIM im-server do wersji 1.8.16 zawiera domyślne poświadczenia administratora admin/123456, które pozwalają nieuwierzytelnionym zdalnym atakującym na dostęp do konsoli administracyjnej na porcie 8090. Atakujący mogą zalogować się jako administrator, nawet po usunięciu konta, ponieważ CheckLogin odtwarza je, aby kontrolować aplikacje dzierżawcy i sekrety aplikacji.

Oryginalny opis (angielski, źródło NVD)

JuggleIM im-server through 1.8.16 contains a weak password hashing vulnerability that stores admin console passwords as unsalted SHA-1 digests via tools.SHA1 in services/accountservice.go. Attackers who obtain the accounts table through database access or backups can crack console passwords using precomputed tables or GPU brute force.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS