CVE-2026-112296

KrytyczneCVSS 9.8

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Streszczenie

FlyCms do commita edfdf724 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp superadministratora za pomocą konta flycms z hasłem admin123. Atakujący mogą zalogować się przez POST /api/auth/login, rozwiązując jedynie captchę obrazkową, i uzyskać pełną kontrolę nad treścią, użytkownikami i konfiguracją witryny.

Ocena ryzyka

Każdy atakujący może przejąć pełną kontrolę administracyjną nad witryną bez znajomości tajnych danych. Prowadzi to do modyfikacji treści, kradzieży danych i dalszej kompromitacji.

Rekomendacja

Natychmiast zmień domyślne poświadczenia konta flycms i wymuś silne hasła dla wszystkich kont administracyjnych. Zaktualizuj FlyCms do wersji, w której problem został naprawiony, lub zastosuj poprawki.

Inne podatności w FlyCms

CVE-2025-15094Średnie
W systemie sunkaifei FlyCMS do wersji abbaa5a8daefb146ad4d61027035026b052cb414 odkryto podatność XSS w funkcji userLogin w pliku src/main/java/com/flycms/web/front/UserController.java. Manipulacja argumentem redirectUrl umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

FlyCms through commit edfdf724 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain super administrator access via the flycms account with password admin123. Attackers can log in through POST /api/auth/login, solving only the image captcha, to obtain full control of site content, users and configuration.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS