Songloft 2.9.0 以往版本發現硬編碼管理員憑證漏洞（CVE-2026-119662）
CVE-2026-119662 - Songloft 2.9.0 before 2.13.6 Hardcoded Admin Credentials in Embedded Backend
Songloft 2.9.0 以往版本存在硬編碼管理員憑證漏洞（CVE-2026-119662），允許同網路內部攻擊者以預設帳號登入並修改設定。
- 受影響版本：2.9.0 以往版本至 2.13.5，建議升級至 2.13.6 或更高。
此漏洞使同網路攻擊者可以預設帳號登入，影響 Songloft 2.9.0 以往版本，建議升級至 2.13.6 以移除硬編碼憑證，並監控網路存取以降低風險。
Songloft 2.9.0 版本（低於 2.13.6）存在硬編碼憑證漏洞，允許同一網路內的攻擊者使用預設的 admin/admin 組合以管理員身分登入。攻擊者可透過 /api/v1/auth/login 端點登入，進而修改圖書館與設定，並安裝在 QuickJS 執行的 JavaScript 外掛。
影響
受影響產品
以下產品受 CVE-2026-119662 漏洞影響。
即使 cvefeed.io 已知受影響產品的精確版本，資訊仍未在下表中顯示。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重程度。 我們會收集並顯示各來源對每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 4.0 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 |
將 Songloft 更新至 2.13.6 或更高版本，以修正硬編碼憑證漏洞。
- 將 Songloft 更新至 2.13.6 或更高版本。
- 移除硬編碼的管理員憑證。
- 強化認證端點的安全性。
- 監控網路存取。
我們掃描 GitHub 倉儲以偵測新的概念驗證（PoC）攻擊。以下清單為已發布於 GitHub 的公開攻擊與概念驗證，按最近更新時間排序。
由於潛在的效能問題，結果僅限於前 15 個倉儲。
以下清單為文章中提及 CVE-2026-119662 漏洞的新聞。
EPSS 是對未來 30 天內可能被利用的機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。