CVE-2026-109566Critique9.8

Rapyd Admin (Laravel) - Hard-coded credentials dans AuthSeeder, accès super-admin sans authentification

Publiée le 13/10/2026// Kreomnis Vigie

◆ Veille automatiséeIssue du bulletin du 13/10/2026 · fenêtre 12 octobre 2026sources croisées, relecture Kreomnis

Action recommandée

Évaluez immédiatement l’accès admin existant et restaurez les seeds sûrs; retirez les comptes super-admin non autorisés et appliquez les correctifs fournis par l’éditeur dès que disponible.

Aucun correctif décrit dans cet avis GitHub advisory (vérifier les releases et patchs applicables → patchs GitHub 9.20.0 et ultérieures recommandés par l’éditeur).

CVSS 3.1

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS : probabilité d'exploitation

Source : FIRST.org, modèle EPSS v3

Produits/versions affectés

Rapyd Admin (Laravel)

Le contexte

Rapyd Admin, version 9.0.0 à 9.20.0, contient des identifiants codés en dur dans AuthSeeder qui permettent à un attaquant non authentifié d’obtenir un compte super-admin via une base d’admin créée par l’installateur. Le compte est recréé à chaque exécution et donne un accès complet au système sans contrôle de périmètre.

Vecteur d'attaque

Accès non authentifié via l’interface d’installation et seed d’administration

Systèmes impactés

| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | Rapyd Admin (Laravel) | versions antérieures à 9.20.0 | ≥ 9.20.0 |

Non affecté : Non applicable hors produit Rapyd Admin/Laravel.

Statut du correctif : Aucun correctif décrit dans cet avis GitHub advisory (vérifier les releases et patchs applicables → patchs GitHub 9.20.0 et ultérieures recommandés par l’éditeur).

La vulnérabilité

CVE-2026-109566 : accès non authentifié / authentification bypass via seed malveillant

laravel · CVSS 9.8

Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin.

Impact : Prise de contrôle complète du système par un attaquant distant

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Recommandations

Mettre en quarantaine immédiatement les comptes admin générés par AuthSeeder si présents.
Mettre à jour Rapyd Admin vers la version ≥ 9.20.0 dès publication des correctifs par l’éditeur.
Changer les mots de passe par défaut et activer une politique MFA si disponible.
Surveiller et auditer les accès admin et les seeds d’installation dans les pipelines CI/CD.

Ce qu'il faut retenir

Analyse issue du bulletin de veille Kreomnis du 13 octobre 2026 (fenêtre : 12 octobre 2026). Sources croisées listées ci-dessous.

Kreomnis Vigie