CVE-2026-92921
ŚrednieCVSS 4.9Streszczenie
Aplikacja admin3 w wersjach do 3.0.0 przechowuje hasła kont przy użyciu pojedynczej rundy MD5, używając jedynie nazwy użytkownika jako soli i bez funkcji wyprowadzania klucza. Atakujący mający dostęp do bazy danych może odzyskać hasła w postaci jawnej poprzez ataki słownikowe lub brute-force offline.
Ocena ryzyka
W przypadku wycieku bazy danych wszystkie hasła użytkowników mogą zostać szybko złamane, co prowadzi do przejęcia kont i nieautoryzowanego dostępu do systemu.
Rekomendacja
Należy jak najszybciej zmigrować przechowywanie haseł na silny algorytm z solą i funkcją wyprowadzania klucza (np. bcrypt, Argon2) oraz wymusić reset haseł wszystkich użytkowników.
Inne podatności w admin3
Zobacz wszystkie- CVE-2026-92920Średnie
Aplikacja admin3 w wersjach do 3.0.0 nie unieważnia istniejących sesji przy wyłączaniu konta użytkownika, co pozwala atakującym zachować uwierzytelniony dostęp z pierwotnymi uprawnieniami. Tokeny bearer wydane przed wyłączeniem konta nadal działają, ponieważ AuthInterceptor nigdy nie sprawdza ponownie statusu zablokowania użytkownika, a wygaśnięcie sesji resetuje się przy każdym żądaniu.
- CVE-2026-92919Wysokie
Aplikacja admin3 w wersjach do 3.0.0 nie sanityzuje nazw plików dostarczanych przez klienta w module obsługi przesyłania, co pozwala uwierzytelnionym użytkownikom zapisywać pliki poza katalogiem głównym w środowiskach Windows. Atakujący mogą użyć segmentów ścieżki z kropkami, aby wyjść poza skonfigurowany katalog i nadpisać dowolne pliki dostępne dla procesu serwera.
- CVE-2026-92918Wysokie
Aplikacja admin3 w wersjach do 3.0.0 przechowuje tokeny sesji użytkowników w treści zdarzenia dziennika audytu podczas publikowania zdarzeń domenowych UserLoggedIn. Atakujący z uprawnieniem log:view może odczytać odpowiedź JSON z punktu końcowego GET /logs, aby pozyskać tokeny sesji i użyć ich jako poświadczeń bearer do pełnego dostępu do konta użytkownika.
Oryginalny opis (angielski, źródło NVD)
admin3 through 3.0.0 stores account passwords using single-round MD5 with only the username as salt and no key derivation function. Attackers with database access can recover plaintext passwords through offline dictionary or brute-force attacks due to negligible computational effort.