F-01: standaard beheerderswachtwoord `admin1234` (HIGH) #111

New issue

Closed

opened 2026-05-26 18:23:43 +00:00 by jesse-a · 1 comment

jesse-a commented

2026-05-26 18:23:43 +00:00

Owner

Severity: HIGH

ensure-admin.mjs had admin1234 als hardgecodeerde fallback voor het seed-admin-wachtwoord. Eerste-deploy zonder SEED_ADMIN_PASSWORD-env = volledige admin-toegang met publiek-bekend wachtwoord.

Fix: hardgecodeerde fallback weg; zonder SEED_ADMIN_PASSWORD genereert de app een sterk willekeurig wachtwoord en toont 't éénmalig in de containerlog. docker-compose.yaml had nog admin1234 als default → ook leeggemaakt zodat de env-fallback de F-01-fix niet omzeilde.

**Severity: HIGH** `ensure-admin.mjs` had `admin1234` als hardgecodeerde fallback voor het seed-admin-wachtwoord. Eerste-deploy zonder `SEED_ADMIN_PASSWORD`-env = volledige admin-toegang met publiek-bekend wachtwoord. **Fix**: hardgecodeerde fallback weg; zonder `SEED_ADMIN_PASSWORD` genereert de app een sterk willekeurig wachtwoord en toont 't éénmalig in de containerlog. `docker-compose.yaml` had nog `admin1234` als default → ook leeggemaakt zodat de env-fallback de F-01-fix niet omzeilde.

jesse-a added the

fixed

security

severity-high

labels

2026-05-26 18:23:43 +00:00

jesse-a commented

2026-05-26 18:23:43 +00:00

Author

Owner

Opgelost in commit 4d080f2.

Opgelost in commit 4d080f2.