FastapiAdmin hasta la versión 3.0 contiene una vulnerabilidad de bypass de autenticación (CWE-306) que permite a atacantes no autenticados obtener sesiones de cualquier usuario abusando de endpoints de auto-login sin protección. Según la descripción, un atacante puede listar usuarios en /api/v1/auth/auto-login/users, generar un token de auto-login de superusuario y canjearlo por una sesión JWT para obtener control administrativo total.
Con un CVSS de 9.8, es una falla crítica: no requiere autenticación previa ni interacción de la víctima, y el impacto es toma de control completa del panel. Shodan no reporta hosts indexados con este CVE al momento de la publicación, por lo que la exposición real en internet parece baja, pero cualquier instancia de FastapiAdmin expuesta debería actualizarse o restringirse de inmediato.
| CVE | CVE-2026-111641 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| CWE | CWE-306 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.