Podatności Rapyd Admin

Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność niewłaściwego zarządzania uprawnieniami w komponencie Livewire UsersEdit, która pozwala użytkownikom z uprawnieniem edycji użytkowników przypisać sobie rolę administratora. Atakujący posiadający role takie jak domyślna rola operatora może przesłać identyfikator roli administratora dla własnego konta, znosząc ograniczenia dzierżawy, omijając autoryzację na poziomie rekordów i umożliwiając podszywanie się.

Rapyd Admin od wersji 9.4.0 przed 9.20.0 zawiera podatność przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez samodzielnie zarejestrowane nazwy wyświetlane. Atakujący mogą zarejestrować się z nazwą HTML lub JavaScript renderowaną bez escapowania w filtrze autora dziennika aktywności, wykonując skrypt w sesji administratora.

Rapyd Admin w wersjach od 9.0.0 do przed 9.20.0 zawiera twardo zakodowane poświadczenia, które pozwalają zdalnym nieuwierzytelnionym atakującym uzyskać dostęp super-administratora przez konto admin@laravel z hasłem admin. Konto jest tworzone przez instalator i cicho odtwarzane przy każdym uruchomieniu rpd:make, umożliwiając atakującym ominięcie autoryzacji i ograniczeń dzierżawy.