CVE-2026-109566
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Rapyd Admin w wersjach od 9.0.0 do przed 9.20.0 zawiera twardo zakodowane poświadczenia, które pozwalają zdalnym nieuwierzytelnionym atakującym uzyskać dostęp super-administratora przez konto admin@laravel z hasłem admin. Konto jest tworzone przez instalator i cicho odtwarzane przy każdym uruchomieniu rpd:make, umożliwiając atakującym ominięcie autoryzacji i ograniczeń dzierżawy.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad aplikacją, w tym dostęp do wszystkich danych i funkcji administracyjnych, co stanowi poważne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zaktualizuj Rapyd Admin do wersji 9.20.0 lub nowszej. Natychmiast zmień lub usuń domyślne konto admin@laravel i wdróż silne uwierzytelnianie.
Inne podatności w Rapyd Admin
Zobacz wszystkie- CVE-2026-110239Średnie
Rapyd Admin przed wersją 9.20.0 zawiera podatność typu stored cross-site scripting w komponencie Blade x-rpd::rich-text, który wypisuje powiązane wartości modelu jako surowy HTML bez sanityzacji. Uwierzytelnieni użytkownicy mogą ustawić powiązaną właściwość przez API klienta Livewire, aby zapisać JavaScript, który wykonuje się, gdy administratorzy otworzą formularz rekordu.
- CVE-2026-110238Wysokie
Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom firmy z domyślną rolą klienta na modyfikowanie lub usuwanie dowolnych kont użytkowników przez komponent Livewire UsersModalEditEmbed. Atakujący mogą wysyłać zdarzenia editUser lub deleteUser z przewidywalnymi sekwencyjnymi identyfikatorami użytkowników, aby zresetować hasła właściciela lub super administratora, awansować siebie do roli właściciela i usuwać użytkowników.
- CVE-2026-109567Wysokie
Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność niewłaściwego zarządzania uprawnieniami w komponencie Livewire UsersEdit, która pozwala użytkownikom z uprawnieniem edycji użytkowników przypisać sobie rolę administratora. Atakujący posiadający role takie jak domyślna rola operatora może przesłać identyfikator roli administratora dla własnego konta, znosząc ograniczenia dzierżawy, omijając autoryzację na poziomie rekordów i umożliwiając podszywanie się.
- CVE-2026-109565Średnie
Rapyd Admin od wersji 9.4.0 przed 9.20.0 zawiera podatność przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez samodzielnie zarejestrowane nazwy wyświetlane. Atakujący mogą zarejestrować się z nazwą HTML lub JavaScript renderowaną bez escapowania w filtrze autora dziennika aktywności, wykonując skrypt w sesji administratora.
Oryginalny opis (angielski, źródło NVD)
Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin. The account is seeded by the setup installer and silently re-created on every rpd:make run, letting attackers log in as a global super admin bypassing per-record authorization and tenant scoping.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS