CVE-2026-36728

FastapiAdmin do wersji 3.0 zawiera zaszyty na stałe sekret podpisywania JWT w backend/app/config/setting.py, co pozwala użytkownikom o niskich uprawnieniach fałszować tokeny podszywające się pod superużytkownika. Atakujący mogą zarejestrować się przez nieuwierzytelniony endpoint /api/v1/system/user/register, zalogować się i sfałszować token HS256, zachowując własny session_id, ale podając nazwę superużytkownika w user_name, aby uzyskać uprawnienia superużytkownika.

FastapiAdmin do wersji 3.0 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać sesje dla dowolnego użytkownika poprzez wykorzystanie niechronionych endpointów auto-login. Atakujący może wylistować użytkowników przez /api/v1/auth/auto-login/users, wygenerować token auto-login superużytkownika i wymienić go na sesję JWT, aby uzyskać pełną kontrolę administracyjną.

FastapiAdmin w wersji v2.2.0 zawiera podatność na XSS opartą na Markdown w punkcie końcowym /system/notice/create. Atakujący mogą wstrzyknąć złośliwy kod JavaScript lub HTML do parametru notice_content, który zostanie wykonany w przeglądarce ofiary.

Nieobsłużony wyjątek w punkcie końcowym /application/job/update/{id} w FastapiAdmin v2.2.0 pozwala uwierzytelnionym atakującym z uprawnieniem module_task:job:update na spowodowanie odmowy usługi (DoS) poprzez manipulowanie polem func zaplanowanych zadań.