Rapyd Admin: Hart codierte Super-Admin-Zugangsdaten über AuthSeeder

Zusammenfassung

Rapyd Admin, ein Open-Source-Admin-Panel für Laravel, legt bei der Einrichtung das Konto admin@laravel mit dem fest codierten Passwort admin an. Das Konto wird bei jedem Aufruf von rpd:make erneut erstellt. Ein entfernter, nicht authentifizierter Angreifer, der das Admin-Panel erreichen kann, kann sich als globaler Super-Admin anmelden und die Berechtigungsprüfung pro Datensatz sowie die Mandantentrennung umgehen.

Betroffen

• zofe Rapyd Admin 9.0.0 bis vor 9.20.0
• Versionen vor 9.0.0: Unbekannt.

Behoben in

• Upgrade auf Rapyd Admin 9.20.0 oder neuer. Die Korrektur erzeugt bei der Einrichtung ein zufälliges Admin-Passwort, das einmalig angezeigt wird.

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Das Ändern oder Löschen von admin@laravel reicht auf betroffenen Versionen nicht aus, da der Seeder das Konto bei jedem Aufruf von rpd:make erneut erstellt.
• Empfehlung von IT Services Schneeberger (nicht vom Hersteller): Zugriff auf das Admin-Panel bis zum Upgrade auf ein VPN oder eine Allow-List beschränken.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Ein Aggregator gibt an, dass die CVE nicht als bekanntermassen ausgenutzt gekennzeichnet ist.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Laut Recherchenotizen ist das Standard-Login in der Installationsanleitung des Projekts aufgeführt und dadurch möglicherweise weit bekannt.

Unsere Empfehlung

• Alle Rapyd-Admin-Installationen identifizieren (composer.lock prüfen) und feststellen, ob das Admin-Panel aus dem Internet erreichbar ist.
• Auf 9.20.0 oder neuer aktualisieren.
• admin@laravel auf jeder Installation ändern oder löschen und sicherstellen, dass keine weiteren Standardkonten existieren.
• Logs auf Anmeldungen mit diesem Konto prüfen.
• Das Admin-Panel wo möglich auf ein VPN oder eine Allow-List beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  hyderpwn/CVE-rapyd-admin

Quellen der Recherche

• Rapyd Admin release 9.20.0 github.com
• VulnCheck advisory www.vulncheck.com
• AuthSeeder.php at v9.19.0 github.com
• Rapyd Admin GitHub repository github.com
• OSV CVE-2026-109566 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:24.