Simple Admin Core: Authentifizierungsumgehung über fest codiertes JWT-Geheimnis

Zusammenfassung

Simple Admin Core bis Version 1.8.7 enthält in der Standardkonfigurationsdatei api/etc/core.yaml ein fest codiertes JWT-Signaturgeheimnis (Auth.AccessSecret). Ein nicht authentifizierter Angreifer, der diesen öffentlichen Wert kennt, kann ein JWT mit der Rollen-ID des Super-Administrators signieren und erhält so die vollständige administrative Kontrolle über Benutzer, Rollen, Menüs, API-Berechtigungen, Konfiguration und Tokens. Es sind weder Zugangsdaten noch eine Benutzerinteraktion erforderlich, daher sind alle erreichbaren Instanzen mit dem Standardgeheimnis gefährdet.

Betroffen

• suyuan32 Simple Admin Core, Versionen 0 bis 1.8.7 (gemäss CNA-Eintrag)
• Installationen mit dem Standard-AccessSecret aus den Beispielkonfigurationsdateien
• Versionen vor 1.8.8 werden von Drittquellen als betroffen gemeldet; Bestätigung durch den Hersteller ausstehend

Behoben in

• Behoben in Version 1.8.8 oder neuer gemäss Drittquellen (noch nicht durch den Hersteller bestätigt)
• Herstellerreferenz zur Korrektur: Pull Request #382 (ersetzt fest codierte Geheimnisse in den Beispielkonfigurationen)

Umgehung

• Das fest codierte Auth.AccessSecret durch ein eindeutiges Geheimnis ersetzen, das aus einer Umgebungsvariable oder einem Secrets-Store geladen wird
• Zugriff auf die Admin-API und die Back-Office-Oberfläche auf interne Netze oder VPN beschränken
• Kein herstellerseitiger Workaround gefunden

Ausnutzung

• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: ja, technische Auswirkung: total
• Als aktiv ausgenutzt bekannt: Nein (gemäss geprüften Quellen)
• Eine Drittanbieter-Beschreibung existiert; öffentliche Exploit-Details konnten nicht verifiziert werden
• Das Geheimnis ist im öffentlichen Repository enthalten, daher ist die Ausnutzung leicht reproduzierbar

Unsere Empfehlung

• Alle Instanzen von simple-admin-core und deren Versionen inventarisieren, inklusive der Dateien api/etc/core.yaml
• Prüfen, ob der Admin-Dienst aus dem Internet erreichbar ist, und den Zugriff bei Bedarf einschränken
• Auf Version 1.8.8 oder neuer aktualisieren, nachdem die korrigierte Version auf GitHub des Herstellers bestätigt wurde
• JWT-Zugriffsgeheimnis ersetzen und rotieren, anschliessend Admin-Konten und Tokens auf unerwartete Aktivitäten prüfen
• Logs auf unerwartete administrative API-Anfragen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub: core.yaml at v1.8.7 (hard-coded AccessSecret) github.com
• GitHub: Pull Request #382 (secret replacement) github.com
• VulnCheck advisory www.vulncheck.com
• Third-party write-up hackmd.io
• Vulners PT-2026-116089 vulners.com
• VulDB CVE-2026-111690 vuldb.com
• GitHub releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:24.