CVE-2026-86436
ŚrednieCVSS 5.4Streszczenie
Lara Dashboard przed wersją 1.3.2 nie autoryzuje dostępu do punktów końcowych przesyłania obrazów i wideo w kreatorze postów, co pozwala uwierzytelnionym kontom bez uprawnień do treści na przesyłanie plików. Atakujący mogą przesyłać pliki poliglotyczne z wybranymi rozszerzeniami do publicznego katalogu i wykonać kod, jeśli wdrożenie na to pozwala.
Ocena ryzyka
Uwierzytelnieni użytkownicy bez odpowiednich uprawnień mogą przesyłać złośliwe pliki, co może prowadzić do zdalnego wykonania kodu i przejęcia serwera.
Rekomendacja
Zaktualizuj Lara Dashboard do wersji 1.3.2 lub nowszej, która zawiera poprawkę autoryzacji dla punktów końcowych przesyłania plików.
Inne podatności w Lara Dashboard
Zobacz wszystkie- CVE-2026-86438Wysokie
Lara Dashboard przed wersją 1.3.2 nie autoryzuje poprawnie akcji Livewire installModule w MarketplaceModuleBrowser, co pozwala administratorom niebędącym Superadminami na instalowanie modułów. Atakujący może pobrać i automatycznie aktywować dowolne moduły PHP z marketplace przez niepodpisane żądania HTTP, osiągając zdalne wykonanie kodu.
- CVE-2026-86437Wysokie
Lara Dashboard przed wersją 1.3.2 autoryzuje punkt końcowy POST /admin/settings/core-upgrades/upload tylko uprawnieniem settings.edit, co pozwala administratorom niebędącym Superadminami na przesyłanie i rozpakowywanie dowolnych archiwów zip na żywym kodzie źródłowym aplikacji. Atakujący może przesłać złośliwe archiwum ze zmodyfikowanymi plikami aplikacji, takimi jak routes/web.php z osadzonymi poleceniami systemowymi, które wykonują się jako użytkownik serwera WWW z dostępem do sekretów środowiskowych i danych uwierzytelniających bazy danych.
- CVE-2026-86184Krytyczne
Lara Dashboard przed wersją 1.3.0 zawiera podatność obejścia uwierzytelniania w trasie screenshot-login, która pozwala nieuwierzytelnionym atakującym uwierzytelnić się jako dowolny użytkownik po adresie e-mail, gdy APP_ENV nie jest ustawione na production. Atakujący mogą wysłać żądanie GET /screenshot-login/{email} z zarejestrowanym adresem e-mail, aby otrzymać w pełni uwierzytelnioną sesję, umożliwiającą dostęp do administracji użytkownikami, ustawień, zawartości bazy danych oraz wykonanie dowolnego kodu przez instalator modułów.
Oryginalny opis (angielski, źródło NVD)
Lara Dashboard before 1.3.2 fails to authorize access to the post-builder image and video upload endpoints, allowing authenticated accounts without content permissions to upload files. Attackers can upload polyglot files with attacker-chosen extensions to the public web root and execute code if the deployment permits execution of the uploaded file type.