CVE-2026-86437
WysokieCVSS 7.2Streszczenie
Lara Dashboard przed wersją 1.3.2 autoryzuje punkt końcowy POST /admin/settings/core-upgrades/upload tylko uprawnieniem settings.edit, co pozwala administratorom niebędącym Superadminami na przesyłanie i rozpakowywanie dowolnych archiwów zip na żywym kodzie źródłowym aplikacji. Atakujący może przesłać złośliwe archiwum ze zmodyfikowanymi plikami aplikacji, takimi jak routes/web.php z osadzonymi poleceniami systemowymi, które wykonują się jako użytkownik serwera WWW z dostępem do sekretów środowiskowych i danych uwierzytelniających bazy danych.
Ocena ryzyka
Nieautoryzowani administratorzy mogą nadpisać pliki aplikacji i wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu i wycieku wrażliwych danych.
Rekomendacja
Zaktualizuj Lara Dashboard do wersji 1.3.2 lub nowszej, która zawiera poprawkę autoryzacji dla punktu końcowego upload.
Inne podatności w Lara Dashboard
Zobacz wszystkie- CVE-2026-86438Wysokie
Lara Dashboard przed wersją 1.3.2 nie autoryzuje poprawnie akcji Livewire installModule w MarketplaceModuleBrowser, co pozwala administratorom niebędącym Superadminami na instalowanie modułów. Atakujący może pobrać i automatycznie aktywować dowolne moduły PHP z marketplace przez niepodpisane żądania HTTP, osiągając zdalne wykonanie kodu.
- CVE-2026-86436Średnie
Lara Dashboard przed wersją 1.3.2 nie autoryzuje dostępu do punktów końcowych przesyłania obrazów i wideo w kreatorze postów, co pozwala uwierzytelnionym kontom bez uprawnień do treści na przesyłanie plików. Atakujący mogą przesyłać pliki poliglotyczne z wybranymi rozszerzeniami do publicznego katalogu i wykonać kod, jeśli wdrożenie na to pozwala.
- CVE-2026-86184Krytyczne
Lara Dashboard przed wersją 1.3.0 zawiera podatność obejścia uwierzytelniania w trasie screenshot-login, która pozwala nieuwierzytelnionym atakującym uwierzytelnić się jako dowolny użytkownik po adresie e-mail, gdy APP_ENV nie jest ustawione na production. Atakujący mogą wysłać żądanie GET /screenshot-login/{email} z zarejestrowanym adresem e-mail, aby otrzymać w pełni uwierzytelnioną sesję, umożliwiającą dostęp do administracji użytkownikami, ustawień, zawartości bazy danych oraz wykonanie dowolnego kodu przez instalator modułów.
Oryginalny opis (angielski, źródło NVD)
Lara Dashboard before 1.3.2 authorizes the POST /admin/settings/core-upgrades/upload endpoint with only the settings.edit permission, allowing non-Superadmin administrators to upload and extract arbitrary zip archives over the live application source code. Attackers can upload a malicious archive containing modified application files such as routes/web.php with embedded system commands, which execute as the web server user with access to environment secrets and database credentials.