CVE-2026-97064: Indkodet masterkode i X-SpringBoot

CVE-2026-97064 er en sårbarhed i platformen X-SpringBoot til og med version 6.0. Systemet leveres med en fast indkodet hovednøgle, en masterkode med værdien 172839, som er sat ind i databasen fra fabrikkens side. Koden fungerer som en alternativ adgangskode, der virker for alle brugerkonti. En angriber, der kender en brugers e-mail eller mobilnummer, kan sende dette sammen med masterkoden til login-funktionen emailOrMobileLogin og blive logget ind som den pågældende bruger uden at kende det rigtige kodeord. Fejlen kaldes en hardcoded credential, altså en adgangskode der er skrevet direkte ind i koden eller databasen i stedet for at blive genereret unikt per installation. Da e-mailadresser og mobilnumre ofte er offentligt tilgængelige eller nemme at gætte, kan angreb udføres uden forudgående adgang til systemet.

Sårbarheden rammer alle installationer af X-SpringBoot til og med version 6.0, hvor databasens standardopsætning (seed-data) ikke er blevet ændret efter installation. Det gælder virksomheder og kommuner, der bruger platformen som backend til kundeportaler, medarbejdersystemer eller andre løsninger, hvor brugere logger ind med e-mail eller mobilnummer. Alle brugerkonti i systemet er udsat, herunder administratorkonti, da masterkoden ikke er begrænset til bestemte roller.

En angriber kan logge ind som en hvilken som helst bruger, inklusive administratorer, uden at kende det rigtige kodeord. I praksis betyder det, at en angriber kan tilgå personoplysninger, kundedata eller interne dokumenter, som den pågældende bruger har adgang til. For en dansk virksomhed kan det føre til læk af CPR-numre, fakturadata eller andre følsomme oplysninger, med krav om anmeldelse til Datatilsynet, hvis der er tale om et brud på persondatasikkerheden. Da sårbarheden giver adgang til data (fortrolighed og integritet), men ikke direkte kan lukke systemet ned, vil et angreb typisk foregå stille uden at systemet går ned eller viser fejl.

CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver hverken login, særlige rettigheder eller at en bruger klikker på noget: det kan udføres direkte over netværket af en hvem som helst, der kender en e-mail eller et mobilnummer i systemet. Kompleksiteten er lav, så det kræver ikke specialviden at udnytte. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsestidspunktet, men fordi masterkoden er offentligt kendt (172839) og let at afprøve, er risikoen for misbrug høj, så snart sårbarheden bliver kendt bredt.

Følgende trin lukker hullet og reducerer risikoen, mens I venter på en officiel opdatering fra leverandøren.

1. Fjern eller deaktivér masterkoden 172839 direkte i databasens seed-data, så login-funktionen emailOrMobileLogin ikke længere accepterer den.
2. Gennemgå logfiler for login-forsøg på emailOrMobileLogin for at se, om koden allerede er blevet brugt uautoriseret.
3. Skift adgangskoder på alle brugerkonti, især administratorkonti, som en sikkerhedsforanstaltning efter fjernelse af masterkoden.
4. Indfør totrinsbekræftelse (to-faktor login), hvor det er muligt, så en kompromitteret adgangskode alene ikke giver fuld adgang.
5. Følg leverandørens sikkerhedsmeddelelser for X-SpringBoot og opdatér til en rettet version, så snart den udgives.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har adgang til databasen eller er usikre på, om jeres installation er ramt.