CVE-2026-111642
WysokieCVSS 8.8Streszczenie
FastapiAdmin do wersji 3.0 zawiera zaszyty na stałe sekret podpisywania JWT w backend/app/config/setting.py, co pozwala użytkownikom o niskich uprawnieniach fałszować tokeny podszywające się pod superużytkownika. Atakujący mogą zarejestrować się przez nieuwierzytelniony endpoint /api/v1/system/user/register, zalogować się i sfałszować token HS256, zachowując własny session_id, ale podając nazwę superużytkownika w user_name, aby uzyskać uprawnienia superużytkownika.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może uzyskać pełne uprawnienia superużytkownika, co prowadzi do całkowitego przejęcia kontroli nad aplikacją i dostępem do wszystkich danych.
Rekomendacja
Zaktualizuj FastapiAdmin do wersji nowszej niż 3.0 i zastąp zaszyty sekret JWT unikalnym, losowym kluczem przechowywanym w bezpiecznym miejscu, a także zabezpiecz endpoint rejestracji.
Inne podatności w FastapiAdmin
Zobacz wszystkie- CVE-2026-111641Krytyczne
FastapiAdmin do wersji 3.0 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać sesje dla dowolnego użytkownika poprzez wykorzystanie niechronionych endpointów auto-login. Atakujący może wylistować użytkowników przez /api/v1/auth/auto-login/users, wygenerować token auto-login superużytkownika i wymienić go na sesję JWT, aby uzyskać pełną kontrolę administracyjną.
- CVE-2026-36728Średnie
Funkcja czatu asystenta AI w FastapiAdmin v2.2.0 zawiera podatność na XSS opartą na Markdown. Atakujący może wstrzyknąć dowolne skrypty lub HTML poprzez wysłanie spreparowanej wiadomości czatu.
- CVE-2026-36725Średnie
FastapiAdmin w wersji v2.2.0 zawiera podatność na XSS opartą na Markdown w punkcie końcowym /system/notice/create. Atakujący mogą wstrzyknąć złośliwy kod JavaScript lub HTML do parametru notice_content, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-36724Średnie
Nieobsłużony wyjątek w punkcie końcowym /application/job/update/{id} w FastapiAdmin v2.2.0 pozwala uwierzytelnionym atakującym z uprawnieniem module_task:job:update na spowodowanie odmowy usługi (DoS) poprzez manipulowanie polem func zaplanowanych zadań.
Oryginalny opis (angielski, źródło NVD)
FastapiAdmin through 3.0 contains a hard-coded JWT signing secret in backend/app/config/setting.py that allows low-privileged users to forge tokens impersonating the superuser. Attackers can register via the unauthenticated /api/v1/system/user/register endpoint, log in, and forge an HS256 token keeping their session_id but naming the superuser in user_name to gain superuser privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS