FlyCms: Standardmässige Zugangsdaten des Super-Administrators
Zusammenfassung
FlyCms bis Commit edfdf724 enthält ein Standardkonto für den Super-Administrator (flycms) mit dem öffentlich bekannten Passwort admin123. Ein nicht authentifizierter Angreifer kann sich nach Lösung des Bild-Captchas über POST /api/auth/login anmelden und erhält volle Kontrolle über Website-Inhalte, Benutzer und Konfiguration. Die Schwachstelle liegt in der Standardkonfiguration und erfordert keine besonderen Bedingungen, sofern das Konto unverändert ist.
Betroffen
- FlyCms bis Commit edfdf724c3b944310f60c29aa755d03a00a75837
- Die Versionierung erfolgt über Commits; es wurden keine getaggten Versionsnummern identifiziert.
Behoben in
Unbekannt.
Umgehung
- Passwort des Standardkontos flycms auf jeder Installation ändern, auch auf Test- und Staging-Systemen.
- Standardkonto deaktivieren, falls es nicht benötigt wird.
- Zugriff auf Administrations-Login und API-Pfade am Reverse Proxy oder an der Firewall auf vertrauenswürdige Netze beschränken.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: nichts bekannt.
- Öffentlicher Proof of Concept: unklar. Der Forscher in GitHub-Issue #19 berichtet, die Standardanmeldung auf einer unveränderten Installation verifiziert zu haben.
- Authentifizierung: keine erforderlich, abgesehen vom Lösen des Bild-Captchas.
Unsere Empfehlung
- Alle FlyCms-Installationen erfassen, einschliesslich Testsysteme und vergessener Instanzen.
- Standardkonto flycms umgehend ändern oder deaktivieren und Protokolle auf Anmeldungen mit diesem Konto prüfen.
- Administratorzugriff auf vertrauenswürdige Netze beschränken, bis eine korrigierte Version bestätigt ist.
- GitHub-Issue #19 und das Repository des Herstellers auf eine Korrektur überwachen und den NVD-Status erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- FlyCms GitHub issue #19 github.com
- FlyCms README at edfdf724 github.com
- FlyCms SQL snapshot at edfdf724 github.com
- OpenCVE CVE-2026-112296 app.opencve.io
- Strix CVE-2026-112296 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:16.
Referenzen der NVD (4)
- https://github.com/sunkaifei/FlyCms/blob/edfdf724c3b944310f60c29aa755d03a00a75837/README.md
- https://github.com/sunkaifei/FlyCms/blob/edfdf724c3b944310f60c29aa755d03a00a75837/sql/flycms_20260928_093335.…
- https://github.com/sunkaifei/FlyCms/issues/19
- https://www.vulncheck.com/advisories/flycms-through-commit-edfdf724-default-super-administrator-credentials
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.