FastapiAdmin: Authentifizierungsumgehung über ungeschützte Auto-Login-Endpunkte
Zusammenfassung
FastapiAdmin bis Version 3.0 stellt Auto-Login-Routen unter /api/v1/auth/auto-login bereit, die ohne Authentifizierungsprüfung funktionieren. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann aktivierte Benutzer auflisten, für jeden Benutzer inklusive Superuser einen Login-Token erzeugen und diesen in eine gültige JWT-Sitzung mit vollständiger Administrationskontrolle umwandeln. Die Standardkonfiguration ist betroffen, und für den Angriff genügt Netzwerkzugriff auf die Anwendung.
Betroffen
- FastapiAdmin Versionen 0 bis 3.0 (vom Hersteller für v3.0 angegebener Commit 362f005924700157b390b1224142b3cfa276f426)
- Standardkonfiguration
Behoben in
Unbekannt.
Umgehung
- Den Zugriff auf das Admin-Backend auf ein VPN oder eine IP-Allowlist beschränken.
- /api/v1/auth/auto-login/ am Reverse Proxy blockieren, falls kein Patch möglich ist.
- Logs auf Anfragen an die Auto-Login-Routen und auf unerwartete Superuser-Sitzungen prüfen.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Öffentliche technische Beschreibungen existieren; die Schritte zur Ausnutzung sind in den verlinkten Quellen beschrieben.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob FastapiAdmin 3.0 oder eine ältere Version eingesetzt wird, insbesondere auf aus dem Internet erreichbaren Instanzen.
- Die öffentliche Erreichbarkeit des Admin-Panels jetzt entfernen oder auf vertrauenswürdige Netzwerke beschränken.
- Den Herstellerfix einspielen, sobald verfügbar; eine korrigierte Version ist noch nicht bekannt.
- Den JWT-Signaturschlüssel und alle Administrator-Zugangsdaten rotieren und bei öffentlicher Exposition auf Anzeichen einer Kompromittierung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- HackMD write-up (technical analysis) hackmd.io
- Vulnerable source code at v3.0 github.com
- VulDB entry vuldb.com
- CVE-2026-111641 aggregator entry cve.threatint.com
- FastapiAdmin project github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:27.
Referenzen der NVD (3)
- https://github.com/fastapiadmin/FastapiAdmin/blob/v3.0/backend/app/api/v1/module_system/auth/controller.py#L1…
- https://hackmd.io/@hieuPenguinnn/fastapiadmin-unauthenticated-autologin-and-hardcoded-jwt-secret
- https://www.vulncheck.com/advisories/fastapiadmin-through-3.0-authentication-bypass-via-auto-login-endpoints
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.