Rapyd Admin : identifiants super-administrateur codés en dur

Veille sécuritéBackend & données

P3Critique

Rapyd Admin contient des identifiants super-administrateur codés en dur, permettant à un attaquant distant non authentifié d’obtenir un accès privilégié. Les versions 9.0.0 à 9.19.x sont concernées ; mettre à niveau vers la version 9.20.0 ou ultérieure.

IdentifiantCVE-2026-109566

GravitéCritique

Exploitationnon connue / non déterminée

Correctif9.20.0

Source : NVD — CVE-2026-109566

Analyse technique

Le compte admin@laravel avec un mot de passe codé en dur peut conférer des privilèges super-administrateur et contourner l’isolation des tenants. Le dossier CVE indique une divulgation publique au 2026-09-28, antérieure à la période, mais la publication du dossier CVE et celle de la fiche NVD sont datées du 2026-10-12.

Impact, versions et correctif

Événement datéRetenu pour la publication du dossier CVE le 2026-10-12T20:55:19.825Z et de la fiche NVD le 2026-10-12T21:17:13.190Z, dans la période demandée. À noter : le dossier CVE donne une date de divulgation publique du 2026-09-28, antérieure à cette période.

ImpactAccès distant non authentifié au rôle super-administrateur, avec risque pour la confidentialité, l’intégrité et la disponibilité.

Versions affectéesRapyd Admin 9.0.0 à versions antérieures à 9.20.0

Version corrigée9.20.0

ContournementAucun contournement confirmé dans les sources consultées.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.3 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Publication2026-10-12T21:17:13.190Z

Mise à jour2026-10-12T21:17:13.190Z

Détection / vérification

Vérifier si Rapyd Admin est dans une version affectée et si le compte super-administrateur par défaut existe ou a été recréé.

Action recommandée

Mettre à niveau vers Rapyd Admin 9.20.0 ou ultérieur et examiner les comptes et accès administratifs.

Sources

NVD — CVE-2026-109566

Priorisation DFS : P3 · 1 source(s).