CVE-2026-58466: Kritisk fejl i AutoBangumi
AutoBangumi før version 3.2.8 har en indbygget standardadgangskode, der giver ukendte fuld administratoradgang uden login.
Hvad er det?
Sårbarheden findes i AutoBangumi, et selvhostet værktøj til automatisk download af anime via RSS-feeds. Når databasen er tom ved opstart, opretter systemet automatisk en administratorbruger med en fast, offentligt kendt adgangskode via funktionen add_default_user(). Kombinationen af brugernavn og adgangskode er ikke unik for jeres installation, men den samme for alle, der kører programmet uden at ændre den. En angriber kan derfor logge ind som administrator uden at kende noget om jeres opsætning i forvejen.
Hvem rammer det?
Det rammer alle, der kører AutoBangumi i version ældre end 3.2.8, typisk privatpersoner, foreninger eller mindre it-afdelinger, der bruger værktøjet til automatisk at hente og organisere anime-serier. Er installationen tilgængelig fra internettet, for eksempel via en fremskudt server eller port-forwarding, er risikoen størst. Kører den kun internt på et lukket netværk, er eksponeringen mindre, men ikke fjernet.
Hvad kan ske?
En angriber, der logger ind med standardoplysningerne, får fuld kontrol over applikationen. Det inkluderer adgang til at ændre RSS-feed-konfiguration, downloader-indstillinger og alle autentificerede API-endpoints. I praksis kan angriberen omkonfigurere systemet til at hente skadelig kode i stedet for anime-filer, bruge serveren som mellemstation til andre angreb, eller få adgang til andre systemer på samme netværk, hvis AutoBangumi kører med for brede rettigheder.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Der er ikke rapporteret aktiv udnyttelse i det fri, men da adgangskoden er offentligt kendt og angrebet er trivielt at udføre, kan enhver med adgang til login-siden udnytte det uden forudgående forberedelse.
Hvad gør jeg nu?
Sårbarheden lukkes ved at opdatere og skifte adgangskode. Gør følgende i denne rækkefølge:
- Opdater AutoBangumi til version 3.2.8 eller nyere, hvor standardbrugeren ikke længere oprettes automatisk.
- Kan I ikke opdatere med det samme, så log ind og skift administrator-adgangskoden til en unik, stærk kode øjeblikkeligt.
- Gennemgå adgangslogs for ukendte logins eller ændringer i RSS-feed- og downloader-konfiguration, der ikke kan forklares af jeres egen brug.
- Sørg for, at AutoBangumi ikke er direkte tilgængelig fra internettet uden en firewall eller VPN foran.
- Kontakt Auroa eller en anden it-sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I ikke selv kan verificere, om systemet er blevet kompromitteret.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer til AutoBangumi 3.2.8 eller nyere med det samme, da adgangskoden er offentligt kendt og angrebet ikke kræver noget forudgående. Kan opdateringen ikke gennemføres i dag, skal adgangskoden skiftes manuelt som en midlertidig løsning. Det er kun forsvarligt at vente, hvis systemet er fuldstændig afskåret fra internettet og adgangskoden allerede er ændret fra standardværdien.
Tidslinje
Konkrete eksempler
Foreningsserver med åben adgang
En dansk animeforening kører AutoBangumi på en server, der er tilgængelig fra internettet for at gøre det nemt for medlemmer at tilgå den udefra. En angriber finder login-siden via en simpel scanning, logger ind med den offentligt kendte standardadgangskode og omkonfigurerer downloaderen til at hente skadelige filer i stedet for anime. Foreningen opdager først problemet, da serveren begynder at opføre sig unormalt og bruges til at sprede skadelig kode videre.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi kører en sårbar version?
Tjek versionsnummeret i AutoBangumis administrationspanel eller i konfigurationsfilerne. Alle versioner før 3.2.8 er sårbare.
Kan vi vente med at opdatere til efter weekenden?
Kun hvis systemet ikke er tilgængeligt fra internettet, og I allerede har skiftet standardadgangskoden. Er systemet eksponeret, bør det opdateres eller isoleres samme dag, da angrebet er trivielt at udføre.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Se efter uventede ændringer i RSS-feed-opsætningen, downloader-indstillingerne eller nye brugerkonti, som I ikke selv har oprettet. Gennemgå også logfiler for logins fra ukendte IP-adresser.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at systemet faktisk er blevet kompromitteret og persondata eller andre systemer er berørt. Er der tale om potentiel udnyttelse af data, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne.
Er problemet løst, hvis vi bare skifter adgangskoden?
Det fjerner den umiddelbare risiko, men opdateringen til 3.2.8 fjerner selve mekanismen, der opretter standardbrugeren. Vi anbefaler begge trin, ikke kun adgangskodeskift.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
AutoBangumi before 3.2.8 contains a hard-coded default credentials vulnerability that allows unauthenticated attackers to authenticate as the administrator by using the publicly known default credentials seeded at startup via add_default_user() in the database user module when the users table is empty. Attackers can submit the default credentials to the authentication login endpoint to gain full control of the application, including RSS feed configuration, downloader configuration, and all authenticated API endpoints.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.