CVE-2026-109566
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-798
- KEV Durumu
- Hayır
Yayım tarihi: 12 Ekim 2026
Rapyd Admin 9.0.0'dan önce 9.20.0'a kadar hard-kodlanmış kimlik bilgilerine ilişkin bir zafiyet içerir ve bu, uzaktan kimliği doğrulanmamış saldırganların AuthSeeder tarafından oluşturulan admin@laravel hesabıyla admin parolasını kullanarak süper-yönetici erişimine sahip olmasına olanak tanır. Hesap, kurulum yükleyicisi tarafından doldurulur ve her rpd:make çalıştırmasında sessizce yeniden oluşturulur, böylece saldırganların kayıt başına yetkilendirmeyi ve kiracı kapsamını atlayarak küresel süper yönetici olarak oturum açmasına izin verir.
Orijinal açıklama (İngilizce)
Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin. The account is seeded by the setup installer and silently re-created on every rpd:make run, letting attackers log in as a global super admin bypassing per-record authorization and tenant scoping.
Referanslar
- https://github.com/zofe/rapyd-admin
- https://github.com/zofe/rapyd-admin/blob/v9.19.0/src/Modules/Auth/Database/Seeders/AuthSeeder.php#L29-L34
- https://github.com/zofe/rapyd-admin/commit/acd6ee85f9e5ccec67199673b039c605d161406a
- https://github.com/zofe/rapyd-admin/releases/tag/v9.20.0
- https://www.vulncheck.com/advisories/rapyd-admin-9.0.0-before-9.20.0-hard-coded-super-admin-credentials-via-authseeder
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.