CVE-2026-109565
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Rapyd Admin od wersji 9.4.0 przed 9.20.0 zawiera podatność przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez samodzielnie zarejestrowane nazwy wyświetlane. Atakujący mogą zarejestrować się z nazwą HTML lub JavaScript renderowaną bez escapowania w filtrze autora dziennika aktywności, wykonując skrypt w sesji administratora.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia sesji administratora i wykonania złośliwych działań w kontekście uprawnień administratora, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację Rapyd Admin do wersji 9.20.0 lub nowszej oraz wdrożenie walidacji i escapowania danych wejściowych.
Inne podatności w Rapyd Admin
Zobacz wszystkie- CVE-2026-109566Krytyczne
Rapyd Admin w wersjach od 9.0.0 do przed 9.20.0 zawiera twardo zakodowane poświadczenia, które pozwalają zdalnym nieuwierzytelnionym atakującym uzyskać dostęp super-administratora przez konto admin@laravel z hasłem admin. Konto jest tworzone przez instalator i cicho odtwarzane przy każdym uruchomieniu rpd:make, umożliwiając atakującym ominięcie autoryzacji i ograniczeń dzierżawy.
- CVE-2026-110239Średnie
Rapyd Admin przed wersją 9.20.0 zawiera podatność typu stored cross-site scripting w komponencie Blade x-rpd::rich-text, który wypisuje powiązane wartości modelu jako surowy HTML bez sanityzacji. Uwierzytelnieni użytkownicy mogą ustawić powiązaną właściwość przez API klienta Livewire, aby zapisać JavaScript, który wykonuje się, gdy administratorzy otworzą formularz rekordu.
- CVE-2026-110238Wysokie
Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom firmy z domyślną rolą klienta na modyfikowanie lub usuwanie dowolnych kont użytkowników przez komponent Livewire UsersModalEditEmbed. Atakujący mogą wysyłać zdarzenia editUser lub deleteUser z przewidywalnymi sekwencyjnymi identyfikatorami użytkowników, aby zresetować hasła właściciela lub super administratora, awansować siebie do roli właściciela i usuwać użytkowników.
- CVE-2026-109567Wysokie
Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność niewłaściwego zarządzania uprawnieniami w komponencie Livewire UsersEdit, która pozwala użytkownikom z uprawnieniem edycji użytkowników przypisać sobie rolę administratora. Atakujący posiadający role takie jak domyślna rola operatora może przesłać identyfikator roli administratora dla własnego konta, znosząc ograniczenia dzierżawy, omijając autoryzację na poziomie rekordów i umożliwiając podszywanie się.
Oryginalny opis (angielski, źródło NVD)
Rapyd Admin from 9.4.0 before 9.20.0 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts through self-registered display names. Attackers can register with an HTML or JavaScript name rendered unescaped in the Activity log Author filter, executing in an administrator's session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS