Katalog CVE
CVE-2026-16504
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.13%
Percentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wdrożenie szablonu Zulip jednym kliknięciem z VPS.org zawiera zakodowany na stałe klucz podpisywania aplikacji, domyślne hasło bazy danych („zulip”) oraz ustawienie DISABLE_HTTPS=True.
Ocena ryzyka
Atakujący może wykorzystać te domyślne dane uwierzytelniające i brak szyfrowania HTTPS do przejęcia konta administratora, kradzieży danych lub podszywania się pod aplikację.
Rekomendacja
Należy natychmiast zmienić klucz podpisywania aplikacji, hasło bazy danych oraz włączyć HTTPS (ustawić DISABLE_HTTPS=False) po wdrożeniu szablonu.
Oryginalny opis (angielski, źródło NVD)
Deployment of the VPS.org one-click Zulip template deploys a hardcoded application signing key, a default database password ("zulip"), and DISABLE_HTTPS=True.