CVE-2026-111329
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- —
- CWE
- CWE-1392
- KEV Durumu
- Hayır
Yayım tarihi: 15 Ekim 2026
JuggleIM im-server 1.8.16 sürümüne kadar, varsayılan yönetici kimlik bilgileri admin/123456 ile gelir ve bu da kimlik doğrulaması yapılmamış uzak saldırganların 8090 numaralı porttaki yönetim konsoluna erişmesine olanak tanır. Saldırganlar, hesap silinse bile CheckLogin tarafından yeniden oluşturulduğu için yönetici olarak giriş yapabilir ve kiracı uygulamaları ile uygulama gizli anahtarlarını kontrol edebilir.
Orijinal açıklama (İngilizce)
JuggleIM im-server through 1.8.16 ships default administrator credentials admin/123456 that allow unauthenticated remote attackers to access the admin console on port 8090. Attackers can log in as administrator, even after account deletion since CheckLogin recreates it, to control tenant applications and app secrets.
Referanslar
- https://github.com/juggleim/im-server
- https://github.com/juggleim/im-server/blob/v1.8.16/sql/imserver.sql#L988
- https://github.com/juggleim/imserver-console/blob/v1.0.10/services/accountservice.go#L77-L96
- https://hackmd.io/@hieuPenguinnn/juggleim-im-server-default-admin-credential
- https://www.vulncheck.com/advisories/juggleim-im-server-through-1.8.16-default-admin-credentials-in-admin-console
- https://hackmd.io/@hieuPenguinnn/juggleim-im-server-default-admin-credential
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.