CVE-2026-36725

FastapiAdmin do wersji 3.0 zawiera zaszyty na stałe sekret podpisywania JWT w backend/app/config/setting.py, co pozwala użytkownikom o niskich uprawnieniach fałszować tokeny podszywające się pod superużytkownika. Atakujący mogą zarejestrować się przez nieuwierzytelniony endpoint /api/v1/system/user/register, zalogować się i sfałszować token HS256, zachowując własny session_id, ale podając nazwę superużytkownika w user_name, aby uzyskać uprawnienia superużytkownika.

FastapiAdmin do wersji 3.0 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać sesje dla dowolnego użytkownika poprzez wykorzystanie niechronionych endpointów auto-login. Atakujący może wylistować użytkowników przez /api/v1/auth/auto-login/users, wygenerować token auto-login superużytkownika i wymienić go na sesję JWT, aby uzyskać pełną kontrolę administracyjną.

Funkcja czatu asystenta AI w FastapiAdmin v2.2.0 zawiera podatność na XSS opartą na Markdown. Atakujący może wstrzyknąć dowolne skrypty lub HTML poprzez wysłanie spreparowanej wiadomości czatu.

Nieobsłużony wyjątek w punkcie końcowym /application/job/update/{id} w FastapiAdmin v2.2.0 pozwala uwierzytelnionym atakującym z uprawnieniem module_task:job:update na spowodowanie odmowy usługi (DoS) poprzez manipulowanie polem func zaplanowanych zadań.