CVE-2026-121139: Vulnerability in Rapid7 Metasploit

1 karet z 1 položek · v celém archivu · celý přehled CZ · EN/orig

CVE-2026-121139

EPSS < 0.01 EPSS k 6. 11. 2026

Hodnocení závažnosti

7.8 CVSS 3.1 CISA-ADP

útok z místního přístupu bez přípravy stačí běžný účet bez zásahu uživatele

dopad plný únik dat úplná změna dat úplný výpadek

přesah dopad jen na zranitelnou součást

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

7.3 CVSS 4.0 rapid7

útok z místního přístupu žádné ochrany se neobcházejí jen v určitém nastavení nebo načasování stačí běžný účet bez zásahu uživatele

dopad plný únik dat úplná změna dat úplný výpadek

přesah bez úniku v okolních systémech beze změny v okolních systémech bez výpadku v okolních systémech

CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

zvyšuje závažnost mírně zvyšuje závažnost snižuje závažnost

cve.org · NVD

6. 11. 2026 · zachyceno 04:00

Vulnerability in Rapid7 Metasploit

Classification: Important, Solution: Official Fix, Exploit Maturity: Not Defined, CVSSv4.0: 7.3, CVEs: CVE-2026-121139, Summary: The Rapid7 Metasploit msf-ws suffers from a missing authentication vulnerability whereby the REST API grants an unauthenticated "bootstrap" exemption so that the very first administrator can be created when the users table is empty. While the table is empty, POST /api/v1/users is exempt from authentication by design: the route handler calls warden.authenticate!(scope:…

EPSS < 0.01 CVSS 7.3 CVE-2026-121139 Rapid7 FI

tg: zranitelnost tp: identita

6. 11. 2026 · zachyceno 04:00 · NCSC-FI · Vulnerability in Rapid7 Metasploit