CVE-2026-26218
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w projekcie newbee-mall polega na tym, że skrypt inicjalizacyjny bazy danych zawiera predefiniowane konta administratorów z domyślnym, łatwym do odgadnięcia hasłem. Jeśli wdrożenie używa tego skryptu i nie zmieni domyślnych danych logowania, nieuwierzytelniony atakujący może zalogować się jako administrator i przejąć pełną kontrolę nad aplikacją.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości całkowitego przejęcia kontroli nad aplikacją przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, modyfikacji treści lub dalszych ataków na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową zmianę domyślnego hasła dla wszystkich kont administratorów w newbee-mall oraz usunięcie lub modyfikację skryptu inicjalizacyjnego bazy danych, aby nie zawierał predefiniowanych kont z domyślnymi hasłami.
Oryginalny opis (angielski, źródło NVD)
newbee-mall includes pre-seeded administrator accounts in its database initialization script. These accounts are provisioned with a predictable default password. Deployments that initialize or reset the database using the provided schema and fail to change the default administrative credentials may allow unauthenticated attackers to log in as an administrator and gain full administrative control of the application.