CVE-2026-26218

Skrypt inicjalizacji bazy danych (schema) dołączony do projektu Newbee-Mall automatycznie tworzy konta administratora z przewidywalnymi, domyślnymi hasłami. Jeśli administrator wdrażający aplikację nie zmieni tych danych logowania po inicjalizacji lub zresetowaniu bazy danych, konta pozostają aktywne z fabrycznymi poświadczeniami. Atakujący, znając przewidywalne dane logowania (zakodowane na stałe w publicznym repozytorium), może zalogować się jako administrator bez żadnej wcześniejszej wiedzy o środowisku docelowym.

Atakujący uzyskuje pełne uprawnienia administracyjne w aplikacji, co pozwala na dowolną modyfikację danych, przejęcie kont użytkowników oraz manipulację całą platformą e-commerce.

Należy niezwłocznie zmienić domyślne hasła wszystkich predefiniowanych kont administratora po każdej inicjalizacji lub resecie bazy danych. Zaleca się przegląd wszystkich aktywnych kont administracyjnych i wymuszenie silnych, unikalnych haseł. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Newbee-Mall (Newbee-Mall Project) — wdrożenia, które inicjalizują lub resetują bazę danych za pomocą dostarczonego skryptu schema i nie zmieniają domyślnych poświadczeń administracyjnych

Podatność sklasyfikowana jako CWE-798 (Use of Hard-coded Credentials). Szczegóły techniczne, w tym prawdopodobnie same domyślne poświadczenia, są publicznie dostępne w repozytorium GitHub projektu oraz w serwisie VulnCheck, co znacząco obniża próg wejścia dla potencjalnego atakującego.