CVE-2026-109566: Rapyd Admin: credenciais fixas de super-admin via AuthSeeder
O Rapyd Admin contém credenciais fixas que permitem a atacantes remotos não autenticados obter acesso de super-admin por meio de uma conta padrão criada pelo AuthSeeder. O registro informa pontuação CVSS 3.1 de 9.8 e classificação CWE-798. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Rapyd Admin, publicado pela Zofe, contém credenciais fixas classificadas como CWE-798. Um seeder cria a conta admin@laravel com a senha admin e, segundo a descrição do registro, essa conta concede acesso de super-admin a atacantes remotos não autenticados. A conta é recriada pelo instalador de configuração e a cada execução de rpd:make.
Impacto
- Segundo a descrição do registro, é possível obter acesso remoto e não autenticado a uma conta global de super-admin.
- Segundo a descrição do registro, a conta contorna a autorização por registro e o escopo por tenant.
- A pontuação base CVSS 3.1 de 9.8 (Crítica) é informada pela VulnCheck e pelo GitHub. A VulnCheck também informa pontuação CVSS 4.0 de 9.3.
Produtos afetados e versões
- Zofe Rapyd-admin: de 9.0.0 até antes de 9.20.0, conforme a faixa afetada do registro.
- O campo de correções do registro está vazio. O limite final da faixa afetada e as notas de lançamento de 9.20.0 sugerem que 9.20.0 é a primeira versão não afetada. Trata-se de uma inferência.
Status de exploração
O registro não indica que esta CVE esteja no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.00439 (percentil 0.37152, datada de 2026-10-23). Trata-se de estimativa estatística, e não de evidência de exploração.
Correção e mitigação
- Atualize para 9.20.0 ou versão posterior, conforme indicam a faixa afetada e as notas de lançamento.
- Até a atualização, remova a conta administrativa padrão ou altere suas credenciais, e confirme que o seeder não a recria em execuções posteriores.
- Revise as contas administrativas de todos os tenants em busca dessa identidade padrão e de seus acessos recentes.
- Restrinja o acesso às interfaces administrativas a redes confiáveis.
Orientação para detecção
- Procure a identidade padrão admin@laravel nas tabelas de usuários e revise seu histórico de login.
- Monitore os logs de autenticação em busca de logins bem-sucedidos em contas administrativas a partir de origens inesperadas.
- Verifique se as rotinas de implantação executam novamente o seeder e gere alertas para alterações nessa conta.
Limitações das informações disponíveis
As fontes não descrevem o caminho exato de autenticação, o número de implantações expostas nem se houve comprometimento observado. O status de origem do registro é Deferred. Detalhes além das referências citadas são desconhecidos.
Perguntas frequentes
Qual é a fraqueza principal da CVE-2026-109566?
O registro descreve credenciais fixas: uma conta padrão admin@laravel criada pelo AuthSeeder com senha conhecida, classificada como CWE-798.
Quais versões são afetadas?
O registro indica a faixa afetada de 9.0.0 até antes de 9.20.0 para o Zofe Rapyd-admin.
Há exploração conhecida desta vulnerabilidade?
O registro não a inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.