Критическая уязвимость в DataBuff ai-apm-web: встроенные учётные данные администратора (CVE-2026-111693)

В продукте DataBuff ai-apm-web (разработчик — databufflabs) выявлена уязвимость критического уровня, связанная с наличием встроенных учётных данных администратора, заданных в коде по умолчанию. Проблеме присвоен идентификатор CVE-2026-111693.

Подробности

Уязвимости подвержены версии DataBuff ai-apm-web по 0.1.10 включительно. Продукт содержит жёстко закодированную учётную запись администратора admin с паролем Databuff@123. Поскольку эти данные заданы в самом приложении и не требуют предварительной настройки, атакующему не нужен доступ к системе для их получения.

Эксплуатация не требует аутентификации: злоумышленник может отправить POST-запрос с указанными учётными данными на эндпоинт /webapi/api/v1/auth/login и в случае успеха получить токен администратора. С этим токеном становится доступен весь защищённый функционал, доступный через маршруты /webapi, то есть фактически полный контроль над веб-интерфейсом и связанными API.

Уязвимости присвоен базовый балл CVSS 9.3, что соответствует критическому уровню опасности. Причина столь высокой оценки — отсутствие необходимости в аутентификации, низкая сложность эксплуатации и максимальное влияние на конфиденциальность, целостность и доступность системы.

Стоит отметить, что жёстко закодированные учётные данные особенно опасны в случаях, когда система развёрнута с доступом из сети: злоумышленнику достаточно знать стандартный логин и пароль, а смена пароля по умолчанию, как правило, не форсируется приложением.

Что делать

Основная рекомендация — обновить DataBuff ai-apm-web до версии, в которой проблема устранена. Если информация о версии с исправлением отсутствует, следует уточнить статус исправления у разработчика (databufflabs).

До установки обновления рекомендуется принять компенсирующие меры:

• немедленно сменить пароль учётной записи admin на уникальный и стойкий, если система уже развёрнута;
• ограничить сетевой доступ к эндпоинтам /webapi и, в частности, к /webapi/api/v1/auth/login — закрыть их от внешних подключений с помощью межсетевого экрана или обратного прокси;
• проверить журналы аутентификации на предмет подозрительных входов с учётной записью admin и обращений к защищённым маршрутам;
• при наличии признаков компрометации сменить все связанные секреты и токены, провести внеплановый аудит конфигурации.

Наличие встроенных учётных данных по умолчанию — классическая и при этом одна из самых опасных категорий уязвимостей: она не требует сложных техник эксплуатации и легко автоматизируется. Для DataBuff ai-apm-web версий до 0.1.10 включительно риск максимален, поэтому обновление или срочная смена пароля и ограничение доступа к API должны быть выполнены в приоритетном порядке.

Источник: CVE Project (cvelistV5)