| CVE ID | CVE-2025-10678 |
| Data publikacji | 20 października 2025 |
| Producent podatnego oprogramowania | NetBird VPN |
| Nazwa podatnego oprogramowania | NetBird |
| Podatne wersje | Wszystkie poniżej 0.57.0 |
| Typ podatności (CWE) | Use of Default Credentials (CWE-1392) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu NetBird VPN i koordynował proces ujawniania informacji.
Podatność CVE-2025-10678: Skrypt dostarczony przez producenta wykorzystywany do zainstalowania NetBird VPN nie usuwał ani nie zmieniał domyślnego hasła konta administratora utworzonego przez ZITADEL - domyślnego dostawcę tożsamości. Problem dotyczy instancji zainstalowanych przy użyciu tego skryptu oraz może dotyczyć instancji, które korzystały z obrazu Dockera, jeśli domyślne hasło nie zostało zmienione ani użytkownik nie został usunięty.
Ten problem został usunięty w wersji 0.57.0
Podziękowania
Za zgłoszenie podatności dziękujemy Adamowi Sobierajowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.