Résumé
généré automatiquement à partir des données NVDRapyd Admin, dans les versions 9.0.0 à avant 9.20.0, contient des identifiants codés en dur (CWE-798) : un compte admin@laravel avec le mot de passe admin, créé par AuthSeeder lors de l'installation et recréé silencieusement à chaque exécution de rpd:make. Un attaquant distant non authentifié peut s'y connecter en super-administrateur global, contournant l'autorisation par enregistrement et le cloisonnement par tenant. Score CVSS v3.1 : 9.8 (critique).
Description NVD (anglais)
Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin. The account is seeded by the setup installer and silently re-created on every rpd:make run, letting attackers log in as a global super admin bypassing per-record authorization and tenant scoping.
EPSS · FIRST.org
0,44 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 36 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 12 oct. 2026
- Mis à jour
- 16 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-798
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.