Alerta CRÍTICA: Se ha publicado la vulnerabilidad CVE-2026-109566, que afecta a rapyd-admin de zofe en versiones desde la 9.0.0 hasta antes de la 9.20.0. Un atacante remoto no autenticado puede obtener acceso de superadministrador global mediante credenciales codificadas en el código (admin@laravel / admin), comprometiendo la confidencialidad, integridad y disponibilidad del sistema. Se recomienda aplicar la actualización a la versión 9.20.0 de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-109566 |
|---|---|
| Fabricante | zofe |
| Producto | rapyd-admin |
| Fecha de publicación | 2026-10-12 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) |
| Prioridad RyzerBot | 205 (crítica) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-109566 es una vulnerabilidad de credenciales codificadas (CWE-798) presente en rapyd-admin, un paquete de administración para Laravel desarrollado por zofe. Las versiones afectadas comprenden desde la 9.0.0 hasta la 9.19.x, quedando corregida en la versión 9.20.0.
El fallo reside en el componente AuthSeeder, un instalador que forma parte del módulo de autenticación. Durante el proceso de instalación, este seeder crea una cuenta de superadministrador con credenciales fijas y bien conocidas:
- Usuario:
admin@laravel - Contraseña:
admin
El problema no se limita a la instalación inicial. Según la descripción oficial, la cuenta se recrea silenciosamente en cada ejecución del comando rpd:make, una operación habitual durante el desarrollo y mantenimiento de aplicaciones que utilizan este paquete. Esto significa que incluso si un administrador elimina la cuenta tras la instalación, esta puede reaparecer sin previo aviso en la siguiente ejecución del comando.
La existencia de estas credenciales estáticas y públicas permite a un atacante remoto sin autenticación previa iniciar sesión como superadministrador global. Al obtener este nivel de privilegio, el atacante puede:
- Eludir la autorización por registro (per-record authorization).
- Saltarse el aislamiento por inquilino (tenant scoping), accediendo a datos de todos los clientes o entidades alojadas.
- Realizar acciones administrativas completas sobre la aplicación y sus datos.
La vulnerabilidad ha sido clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.3, reflejando el impacto severo sobre la confidencialidad, integridad y disponibilidad del sistema, junto con la facilidad de explotación al no requerir privilegios ni interacción del usuario.
El fabricante ha publicado un commit correctivo (acd6ee85f9e5ccec67199673b039c605d161406a) y la versión 9.20.0 como versión no afectada. Se recomienda encarecidamente a todos los administradores de sistemas que utilicen rapyd-admin que actualicen a esta versión o apliquen las mitigaciones publicadas por el fabricante.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, la vulnerabilidad afecta al producto rapyd-admin del fabricante zofe. Las versiones afectadas y la versión corregida se detallan a continuación:
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| rapyd-admin | zofe | Desde 9.0.0 hasta antes de 9.20.0 | 9.20.0 |
La versión 9.20.0 se considera no afectada según la información de CVE.org. No se han publicado otras versiones o rangos de versiones adicionales en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.3 (vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X), permite a un atacante remoto no autenticado obtener acceso de superadministrador global.
El origen del problema es el uso de credenciales codificadas (CWE-798). El instalador de configuración crea una cuenta admin@laravel con la contraseña admin. Esta cuenta se recrea silenciosamente en cada ejecución de rpd:make, lo que permite a un atacante iniciar sesión como superadministrador global, omitiendo la autorización por registro y el ámbito de inquilino (tenant scoping).
El impacto potencial incluye:
- Compromiso total de la confidencialidad: acceso a todos los datos gestionados por la aplicación.
- Compromiso total de la integridad: modificación, eliminación o creación de registros sin restricciones.
- Compromiso total de la disponibilidad: posible interrupción del servicio o destrucción de datos.
- Omisión de controles de autorización: la cuenta superadministrador no está sujeta a las políticas de acceso por registro ni a la segmentación por inquilino.
Dado que el vector de ataque es de red (AV:N) y no requiere privilegios (PR:N) ni interacción del usuario (UI:N), la explotación remota es sencilla y no requiere condiciones especiales.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se mencionan ataques en curso, exploits públicos o pruebas de concepto en el contexto proporcionado. Por lo tanto, no se puede confirmar ni descartar la existencia de explotación activa basándose únicamente en los datos disponibles.
Se recomienda tratar esta vulnerabilidad como explotable de forma remota y sin autenticación, y aplicar las medidas correctivas con carácter urgente, independientemente de la evidencia pública de explotación.
Indicadores de compromiso (IOC)
El campo enrichment.ioc del contexto proporcionado está vacío. Las fuentes consultadas (NVD, CVE.org y referencias asociadas) no han publicado indicadores de compromiso estructurados para esta vulnerabilidad.
No se deben inventar ni inferir IOC que no estén respaldados por las fuentes. En ausencia de IOC publicados, se recomienda monitorizar los registros de autenticación en busca de inicios de sesión con la cuenta admin@laravel y la contraseña admin, así como cualquier actividad administrativa anómala en la aplicación.
Nota: La ausencia de IOC publicados no implica que no existan; simplemente no han sido divulgados por las fuentes oficiales en el momento de la recopilación de datos.
Cómo comprobar si estás afectado
Para determinar si tu instalación de rapyd-admin es vulnerable a CVE-2026-109566, debes verificar dos aspectos fundamentales: la versión instalada y la existencia de la cuenta comprometida.
1. Verificar la versión del paquete
La vulnerabilidad afecta a todas las versiones de rapyd-admin desde 9.0.0 hasta, pero sin incluir, 9.20.0. Consulta el archivo composer.lock o composer.json de tu proyecto Laravel para localizar la versión exacta del paquete zofe/rapyd-admin. Si la versión es anterior a 9.20.0, la instalación está afectada.
2. Comprobar la existencia de la cuenta admin@laravel
La vulnerabilidad se basa en la creación de una cuenta de superadministrador con credenciales fijas. Para comprobar si la cuenta existe en tu base de datos, ejecuta una consulta SQL sobre la tabla de usuarios del paquete de autenticación. Busca un registro con el correo electrónico admin@laravel. Si la cuenta existe, tu instalación es vulnerable.
Nota importante: La cuenta se crea durante la instalación inicial mediante el
AuthSeedery se vuelve a crear silenciosamente en cada ejecución del comandorpd:make. Por tanto, aunque hayas eliminado la cuenta manualmente, podría reaparecer si se ejecuta dicho comando.
3. Revisar los registros de acceso
Si sospechas que la cuenta ha sido explotada, revisa los registros de autenticación de tu aplicación en busca de inicios de sesión con el correo admin@laravel. Presta especial atención a accesos desde direcciones IP desconocidas o en horarios inusuales.
Mitigación y actualización
La única solución completa publicada por el fabricante es la actualización a la versión 9.20.0 de rapyd-admin. Esta versión incluye el parche que elimina las credenciales hardcodeadas. Consulta las notas de la versión 9.20.0 y el commit de corrección para obtener detalles técnicos del cambio.
Medidas temporales de mitigación
Mientras se planifica la actualización, se recomiendan las siguientes medidas para reducir el riesgo de explotación:
- Restringir el acceso a la interfaz de administración: Limita por firewall o lista de control de acceso (ACL) las direcciones IP que pueden alcanzar la URL de administración de rapyd-admin.
- Eliminar la cuenta admin@laravel: Si la cuenta existe, elimínala de la base de datos. Ten en cuenta que reaparecerá si se ejecuta
rpd:make. - Monitorizar los registros de autenticación: Activa alertas para cualquier intento de inicio de sesión con el correo
admin@laravel. - Revisar la configuración de tenant scoping: Dado que la cuenta comprometida omite el aislamiento por tenant, verifica que no haya habido accesos cruzados a datos de diferentes clientes.
Proceso de actualización recomendado
- Realiza una copia de seguridad completa de la base de datos y del código de la aplicación.
- Actualiza el paquete a la versión 9.20.0 mediante Composer.
- Ejecuta las migraciones de base de datos necesarias.
- Verifica que la cuenta
admin@laravelya no se crea tras la actualización. - Revisa los registros de acceso en busca de actividad sospechosa previa.
Checklist para administradores
- ☐ He identificado la versión exacta de
zofe/rapyd-admininstalada en mi proyecto. - ☐ He confirmado si mi versión está dentro del rango afectado (9.0.0 ≤ versión < 9.20.0).
- ☐ He comprobado en la base de datos si existe la cuenta
admin@laravel. - ☐ He revisado los registros de autenticación en busca de accesos no autorizados con dicha cuenta.
- ☐ He restringido por red el acceso a la interfaz de administración como medida temporal.
- ☐ He planificado la actualización a la versión 9.20.0 en el próximo ciclo de mantenimiento.
- ☐ He notificado al equipo de seguridad interno sobre la exposición potencial.
- ☐ He verificado que no se han producido accesos cruzados entre tenants.
- ☐ He confirmado que el comando
rpd:makeno se ejecutará hasta completar la actualización. - ☐ He documentado el incidente y las acciones tomadas para futuras referencias.
Preguntas frecuentes
¿Qué es exactamente una vulnerabilidad de credenciales hardcodeadas?
Es una vulnerabilidad en la que el software incluye credenciales fijas y conocidas (usuario y contraseña) incrustadas en el código. En este caso, la cuenta admin@laravel con contraseña admin se crea durante la instalación y permite el acceso total al sistema sin necesidad de autenticación previa.
¿Cómo puede un atacante explotar esta vulnerabilidad?
Un atacante remoto sin autenticación puede intentar iniciar sesión en la interfaz de administración utilizando las credenciales conocidas admin@laravel / admin. Si la cuenta existe, obtendrá acceso como superadministrador global, omitiendo los controles de autorización por registro y el aislamiento por tenant.
¿La vulnerabilidad afecta a todos los entornos de rapyd-admin?
Sí, cualquier instalación de rapyd-admin con una versión entre 9.0.0 y 9.19.x (ambas incluidas) que haya ejecutado el instalador o el comando rpd:make tendrá la cuenta vulnerable creada. La exposición depende de si la interfaz de administración es accesible desde Internet.
¿Puedo eliminar la cuenta admin@laravel manualmente?
Sí, puedes eliminar la cuenta de la base de datos, pero ten en cuenta que el AuthSeeder la recreará silenciosamente en cada ejecución de rpd:make. La única solución definitiva es actualizar a la versión 9.20.0 o superior.
¿Qué es el tenant scoping y cómo lo omite esta vulnerabilidad?
El tenant scoping es un mecanismo que aísla los datos de diferentes clientes u organizaciones dentro de la misma aplicación. La cuenta comprometida tiene privilegios de superadministrador global, lo que le permite acceder a todos los datos sin las restricciones de aislamiento por tenant.
¿Dónde puedo encontrar más información técnica sobre el parche?
Puedes consultar el commit de corrección y las notas de la versión 9.20.0 en el repositorio oficial del proyecto.