جزئیات آسیب‌پذیری
CVE-2026-119662
songloft-org songloft
Songloft 2.9.0 before 2.13.6 Hardcoded Admin Credentials in Embedded Backend
CVSS 4.0
8.7بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Songloft 2.9.0 before 2.13.6 contains a hardcoded credentials vulnerability that allows adjacent network attackers to authenticate as administrator using the fixed admin/admin pair. Attackers on the same network can log in via the /api/v1/auth/login endpoint to modify library and configuration settings and install JavaScript plugins running in QuickJS.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 8.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| songloft-org | songloft | 2.9.0 ≤ v < 2.13.6 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://github.com/songloft-org/songloft/issues/534 issue-tracking
- https://github.com/songloft-org/songloft/commit/034fc1c442af5d6bc188642f1fb766af648e014d patch
- https://github.com/songloft-org/songloft/blob/v2.13.3/mobile/mobile.go#L60-L84 technical-description
- https://github.com/songloft-org/songloft/blob/v2.13.3/internal/config/types.go#L15-L22 technical-description
- https://github.com/songloft-org/songloft product
- https://www.vulncheck.com/advisories/songloft-2.9.0-before-2.13.6-hardcoded-admin-credentials-in-embedded-backend third-party-advisory
- https://hackmd.io/@hieuPenguinnn/songloft-default-admin-credentials-unauth-admin-takeover third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۸
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۸
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۳٪
احتمال بهره‌برداری در ۳۰ روز
۳۷٫۳٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- no
- Exploitation
- poc
- Technical Impact
- total
ضعف‌ها (CWE)
- CWE-798Use of Hard-coded Credentials