CVE-2026-109567
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność niewłaściwego zarządzania uprawnieniami w komponencie Livewire UsersEdit, która pozwala użytkownikom z uprawnieniem edycji użytkowników przypisać sobie rolę administratora. Atakujący posiadający role takie jak domyślna rola operatora może przesłać identyfikator roli administratora dla własnego konta, znosząc ograniczenia dzierżawy, omijając autoryzację na poziomie rekordów i umożliwiając podszywanie się.
Ocena ryzyka
Atakujący może podnieść swoje uprawnienia do administratora, uzyskując dostęp do danych innych dzierżaw i możliwość podszywania się pod innych użytkowników.
Rekomendacja
Zaktualizuj Rapyd Admin do wersji 9.20.0 lub nowszej oraz ogranicz możliwość przypisywania ról administracyjnych wyłącznie do uprawnionych administratorów.
Inne podatności w Rapyd Admin
Zobacz wszystkie- CVE-2026-109566Krytyczne
Rapyd Admin w wersjach od 9.0.0 do przed 9.20.0 zawiera twardo zakodowane poświadczenia, które pozwalają zdalnym nieuwierzytelnionym atakującym uzyskać dostęp super-administratora przez konto admin@laravel z hasłem admin. Konto jest tworzone przez instalator i cicho odtwarzane przy każdym uruchomieniu rpd:make, umożliwiając atakującym ominięcie autoryzacji i ograniczeń dzierżawy.
- CVE-2026-110239Średnie
Rapyd Admin przed wersją 9.20.0 zawiera podatność typu stored cross-site scripting w komponencie Blade x-rpd::rich-text, który wypisuje powiązane wartości modelu jako surowy HTML bez sanityzacji. Uwierzytelnieni użytkownicy mogą ustawić powiązaną właściwość przez API klienta Livewire, aby zapisać JavaScript, który wykonuje się, gdy administratorzy otworzą formularz rekordu.
- CVE-2026-110238Wysokie
Rapyd Admin od wersji 9.0.0 przed 9.20.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom firmy z domyślną rolą klienta na modyfikowanie lub usuwanie dowolnych kont użytkowników przez komponent Livewire UsersModalEditEmbed. Atakujący mogą wysyłać zdarzenia editUser lub deleteUser z przewidywalnymi sekwencyjnymi identyfikatorami użytkowników, aby zresetować hasła właściciela lub super administratora, awansować siebie do roli właściciela i usuwać użytkowników.
- CVE-2026-109565Średnie
Rapyd Admin od wersji 9.4.0 przed 9.20.0 zawiera podatność przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie skryptów poprzez samodzielnie zarejestrowane nazwy wyświetlane. Atakujący mogą zarejestrować się z nazwą HTML lub JavaScript renderowaną bez escapowania w filtrze autora dziennika aktywności, wykonując skrypt w sesji administratora.
Oryginalny opis (angielski, źródło NVD)
Rapyd Admin from 9.0.0 before 9.20.0 contains an improper privilege management vulnerability in the UsersEdit Livewire component that allows users with the edit users permission to assign themselves the admin role. Attackers holding roles such as the shipped operator role can submit the admin role ID for their own account, lifting tenant scoping, bypassing per-record authorization, and enabling impersonation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS