Критическая уязвимость учётных данных по умолчанию в FlyCms (CVE-2026-112296)

В системе управления контентом FlyCms, разрабатываемой в репозитории sunkaifei, выявлена уязвимость критического уровня, получившая идентификатор CVE-2026-112296. Проблема связана с наличием учётных данных суперпользователя по умолчанию, которые не были изменены или удалены в поставляемой конфигурации.

Подробности

Уязвимость присутствует в FlyCms вплоть до коммита edfdf724 включительно. Согласно описанию, в системе предустановлена учётная запись flycms с паролем admin123, обладающая правами суперпользователя. Удалённый атакующий, не прошедший аутентификацию, может выполнить вход через эндпоинт POST /api/auth/login, решив только графическую капчу, и тем самым получить полный контроль над содержимым сайта, учётными записями пользователей и конфигурацией системы.

Уязвимости присвоен базовый балл CVSS 9.3, что соответствует критическому уровню опасности. Эксплуатация не требует предварительной аутентификации и специальных условий, что делает угрозу особенно серьёзной для публично доступных инсталляций.

Что делать

Поскольку исправленная версия в записи CVE не указана, владельцам инсталляций FlyCms рекомендуется в первую очередь проверить наличие учётной записи flycms и сменить её пароль либо удалить саму учётную запись, если она не используется. Необходимо убедиться, что все административные учётные записи имеют уникальные стойкие пароли.

Дополнительно следует ограничить доступ к административным эндпоинтам и панели управления на уровне сети (например, по IP-адресам или через VPN), а также отслеживать журналы аутентификации на предмет подозрительных входов через /api/auth/login. Рекомендуется следить за обновлениями проекта FlyCms и установить исправленную версию сразу после её публикации.

Уязвимость CVE-2026-112296 демонстрирует классический риск, связанный с учётными данными по умолчанию: наличие предустановленной учётной записи суперпользователя со слабым паролем фактически открывает злоумышленникам прямой путь к полному контролю над системой. Своевременная смена или удаление таких учётных записей и ограничение сетевого доступа к административным интерфейсам существенно снижают риск эксплуатации.

Источник: CVE Project (cvelistV5)