CVE-2026-105126

LaraDashboard od wersji 1.4.0 do 1.4.8 zawiera podatność typu race condition w RegisterController::register, która pozwala nieuwierzytelnionym atakującym obejść dzienny limit rejestracji na IP. Atakujący mogą wysłać wiele równoczesnych żądań rejestracji z jednego IP, tak aby wszystkie przeszły RegistrationGuardService::hasExceededIpLimit przed wykonaniem recordRegistration, tworząc konta masowo i obchodząc mechanizmy antyautomatyzacyjne.

LaraDashboard przed wersją 1.4.8 zawiera podatność nieprawidłowej autoryzacji, która pozwala uwierzytelnionym użytkownikom z jedynie uprawnieniem settings.view odczytywać przechowywane sekrety poprzez API ustawień. Atakujący mogą odpytywać GET /api/settings lub /api/settings/{option_name}, aby uzyskać tekstowe klucze API dostawców AI, dane logowania do poczty, hasła i tokeny.

LaraDashboard przed wersją 1.4.8 zawiera podatność otwartego przekierowania, która pozwala zdalnym atakującym przekierowywać użytkowników poprzez dostarczenie niezwalidowanego parametru redirect_url do EmailTemplateController builder i builderEdit. Atakujący mogą wysyłać spreparowane linki builder do zalogowanych użytkowników z uprawnieniami do szablonów e-mail, aby zapisanie szablonu przeniosło ich do witryn phishingowych kontrolowanych przez atakującego.

LaraDashboard w wersjach od 1.4.2 do 1.4.8 stosuje zaawansowaną walidację adresów e-mail w żądaniach resetowania hasła dla niezalogowanych użytkowników, co wywołuje zapytania DNS oraz płatne weryfikacje AbstractAPI. Nieuwierzytelniony atakujący może wysyłać dowolne adresy, aby wyczerpać limit weryfikacji, powodując, że walidacja przestaje działać (fail open) dla wszystkich publicznych formularzy, oraz może sondować rozwiązywanie domen.

LaraDashboard przed wersją 1.4.8 zawiera podatność typu path traversal, która pozwala nieuwierzytelnionym atakującym odczytywać pliki JSON poprzez manipulację segmentem trasy {lang}. Na hostach Windows atakujący mogą wysyłać sekwencje zakodowane w URL, takie jak ..%5C, aby wyjść poza resources/lang i odczytać composer.json lub inne pliki JSON aplikacji.

laradashboard do wersji 1.2.2 zawiera podatność braku autoryzacji w endpointach Local License API, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać, nadpisywać i usuwać klucze licencji modułów premium. Atakujący z kontem o niskich uprawnieniach może uzyskać dostęp do endpointów GET /api/admin/licenses/show, POST /api/admin/licenses/store i POST /api/admin/licenses/remove, aby ujawnić poufne klucze licencji, wstrzyknąć wartości kontrolowane przez atakującego lub całkowicie usunąć przechowywane licencje.

LaraDashboard w wersjach od 0.9.2 do 1.2.2 zawiera podatność path traversal w obsłudze kopii zapasowych podczas aktualizacji rdzenia. CoreUpgradeController i BackupService łączą wartość backup_file/filename podaną przez użytkownika bezpośrednio ze ścieżką katalogu kopii zapasowych, bez normalizacji, bez użycia basename() i bez weryfikacji, czy wynikowa ścieżka pozostaje w storage/app/core-backups. Uwierzytelniony użytkownik z uprawnieniem settings.edit może użyć sekwencji ../ do usunięcia dowolnych plików lub przywrócenia archiwum ZIP z dowolnej lokalizacji, co prowadzi do zdalnego wykonania kodu.

LaraDashboard w wersjach 0.9.0 do 1.2.2 nie oczyszcza zawartości plików SVG podczas przesyłania multimediów, co pozwala uwierzytelnionym użytkownikom z uprawnieniem media.create na przesyłanie złośliwych plików SVG zawierających skrypty. Gdy jakikolwiek użytkownik, w tym administrator, otworzy przechowywany plik SVG wyświetlany w kontekście aplikacji, osadzony JavaScript wykonuje się w kontekście pulpitu, umożliwiając przejęcie sesji i konta administratora.