CVE-2026-97064
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.3%
- CWE
- CWE-1392
- KEV Durumu
- Hayır
Yayım tarihi: 25 Eylül 2026
X-SpringBoot 6.0 ve önceki sürümlerinde, veritabanı tohumunda varsayılan olarak etkinleştirilmiş, sabit bir ana login doğrulama kodu (172839) gelir. Kimliği doğrulanmamış saldırganlar, bilinen bir e-posta veya cep telefonu numarasıyla birlikte halka açık ana kodu emailOrMobileLogin endpointine göndererek herhangi bir kullanıcı olarak kimlik doğrulaması yapabilir.
Orijinal açıklama (İngilizce)
X-SpringBoot through 6.0 ships with a hardcoded static master login verification code 172839 enabled by default in the database seed. Unauthenticated attackers can authenticate as any user by submitting the public master code to the emailOrMobileLogin endpoint with a known email or mobile number.
Referanslar
- https://github.com/LinYuanyi1/cve-request-poc/blob/master/x-springboot/02_sms-code-account-takeover.py
- https://github.com/yzcheng90/X-SpringBoot
- https://github.com/yzcheng90/X-SpringBoot/blob/d74ddba989c0449948ff1ddb0d211b6a7ce81bfa/doc/x_springboot.sql#L147
- https://github.com/yzcheng90/X-SpringBoot/blob/d74ddba989c0449948ff1ddb0d211b6a7ce81bfa/src/main/java/com/suke/czx/modules/sys/controller/SysLoginController.java#L94-L112
- https://www.vulncheck.com/advisories/x-springboot-through-6.0-authentication-bypass-via-static-master-code
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.