# CVE-2026-109566 : Rapyd Admin (Laravel) - Hard-coded credentials dans AuthSeeder, accès super-admin sans authentification

> Rapyd Admin, version 9.0.0 à 9.20.0, contient des identifiants codés en dur dans AuthSeeder qui permettent à un attaquant non authentifié d’obtenir un compte super-admin via une base d’admin créée par l’installateur. Le compte est recréé…

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-109566-rapyd-admin-laravel
- Sévérité : Critique · CVSS 9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : Rapyd Admin (Laravel)
- Produits : Rapyd Admin (Laravel)
- Correctif disponible : oui · PoC public : non · Exploitée : non
- Publiée le 13 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 13 octobre 2026 (12 octobre 2026)
- Mots clés : rapyd-admin-laravel, acces-non-authentifie

## Action recommandée

Évaluez immédiatement l’accès admin existant et restaurez les seeds sûrs; retirez les comptes super-admin non autorisés et appliquez les correctifs fournis par l’éditeur dès que disponible.

## Le contexte

Rapyd Admin, version 9.0.0 à 9.20.0, contient des identifiants codés en dur dans AuthSeeder qui permettent à un attaquant non authentifié d’obtenir un compte super-admin via une base d’admin créée par l’installateur. Le compte est recréé à chaque exécution et donne un accès complet au système sans contrôle de périmètre.

## Vecteur d'attaque

Accès non authentifié via l’interface d’installation et seed d’administration

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| Rapyd Admin (Laravel) | versions antérieures à 9.20.0 | ≥ 9.20.0 |

Non affecté : Non applicable hors produit Rapyd Admin/Laravel.

Statut du correctif : Aucun correctif décrit dans cet avis GitHub advisory (vérifier les releases et patchs applicables → patchs GitHub 9.20.0 et ultérieures recommandés par l’éditeur).

## La vulnérabilité

### CVE-2026-109566 : accès non authentifié / authentification bypass via seed malveillant

laravel · CVSS 9.8

Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin.

Impact : Prise de contrôle complète du système par un attaquant distant

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

## Recommandations

- Mettre en quarantaine immédiatement les comptes admin générés par AuthSeeder si présents.
- Mettre à jour Rapyd Admin vers la version ≥ 9.20.0 dès publication des correctifs par l’éditeur.
- Changer les mots de passe par défaut et activer une politique MFA si disponible.
- Surveiller et auditer les accès admin et les seeds d’installation dans les pipelines CI/CD.

## Ce qu'il faut retenir

Évaluez immédiatement l’accès admin existant et restaurez les seeds sûrs; retirez les comptes super-admin non autorisés et appliquez les correctifs fournis par l’éditeur dès que disponible.

Analyse issue du bulletin de veille Kreomnis du 13 octobre 2026 (fenêtre : 12 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitHub Advisories — Rapyd Admin](https://www.github.com/advisories/GHSA-8x56-m6rj-ff6q) (vendor)
- [CERT-FR — Avertissements liés à Raven/ Laravel-advisories](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1292/) (cert-fr)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-109566-rapyd-admin-laravel. Analyse à usage défensif uniquement.