CVE-2026-97064
KrytyczneCVSS 9.1Streszczenie
X-SpringBoot do wersji 6.0 zawiera zakodowany na stałe statyczny kod weryfikacyjny logowania głównego 172839, domyślnie włączony w seedzie bazy danych. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, podając publiczny kod główny do endpointu emailOrMobileLogin ze znanym adresem e-mail lub numerem telefonu.
Ocena ryzyka
Atakujący może przejąć dowolne konto, w tym konta administracyjne, bez znajomości hasła. Krytyczne ryzyko dla bezpieczeństwa całego systemu.
Rekomendacja
Zaktualizuj X-SpringBoot do wersji bez zakodowanego kodu głównego lub usuń/zmień domyślny kod 172839 w bazie danych. Wdróż dodatkowe mechanizmy weryfikacji logowania.
Inne podatności w X-SpringBoot
Zobacz wszystkie- CVE-2026-97060Wysokie
X-SpringBoot do wersji 6.0 nie posiada autoryzacji na poziomie obiektu w endpointach zarządzania użytkownikami. Sub-administratorzy mogą modyfikować lub usuwać użytkowników bez weryfikacji właściciela. Atakujący z uprawnieniami do zarządzania użytkownikami może resetować hasła dowolnego konta, w tym superadministratora, zmieniać role lub usuwać użytkowników przez endpointy POST /sys/user/update i POST /sys/user/delete.
- CVE-2026-97063Krytyczne
X-SpringBoot do wersji 6.0 zwraca kody weryfikacyjne logowania w odpowiedziach HTTP z nieuwierzytelnionych endpointów GET /sys/mobile/code i GET /sys/email/code, nie wysyłając ich do właścicieli kont. Atakujący może zażądać kodów dla znanych numerów telefonów lub adresów e-mail, odczytać je z odpowiedzi i zalogować się jako ofiary przez POST /sys/emailOrMobileLogin/login, przejmując konta.
Oryginalny opis (angielski, źródło NVD)
X-SpringBoot through 6.0 ships with a hardcoded static master login verification code 172839 enabled by default in the database seed. Unauthenticated attackers can authenticate as any user by submitting the public master code to the emailOrMobileLogin endpoint with a known email or mobile number.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS