CVE-2026-86437
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Lara Dashboard przed wersją 1.3.2 autoryzuje punkt końcowy POST /admin/settings/core-upgrades/upload tylko uprawnieniem settings.edit, co pozwala administratorom niebędącym Superadminami na przesyłanie i rozpakowywanie dowolnych archiwów zip na żywym kodzie źródłowym aplikacji. Atakujący może przesłać złośliwe archiwum ze zmodyfikowanymi plikami aplikacji, takimi jak routes/web.php z osadzonymi poleceniami systemowymi, które wykonują się jako użytkownik serwera WWW z dostępem do sekretów środowiskowych i danych uwierzytelniających bazy danych.
Ocena ryzyka
Nieautoryzowani administratorzy mogą nadpisać pliki aplikacji i wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu i wycieku wrażliwych danych.
Rekomendacja
Zaktualizuj Lara Dashboard do wersji 1.3.2 lub nowszej, która zawiera poprawkę autoryzacji dla punktu końcowego upload.
Inne podatności w Lara Dashboard
Zobacz wszystkie- CVE-2026-86184Krytyczne
Lara Dashboard przed wersją 1.3.0 zawiera podatność obejścia uwierzytelniania w trasie screenshot-login, która pozwala nieuwierzytelnionym atakującym uwierzytelnić się jako dowolny użytkownik po adresie e-mail, gdy APP_ENV nie jest ustawione na production. Atakujący mogą wysłać żądanie GET /screenshot-login/{email} z zarejestrowanym adresem e-mail, aby otrzymać w pełni uwierzytelnioną sesję, umożliwiającą dostęp do administracji użytkownikami, ustawień, zawartości bazy danych oraz wykonanie dowolnego kodu przez instalator modułów.
- CVE-2026-87821Wysokie
Lara Dashboard do wersji 1.3.1 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w punkcie końcowym POST /api/admin/builder/markdown/fetch, która pozwala każdemu uwierzytelnionemu użytkownikowi na pobieranie dowolnych adresów URL i odczytywanie treści odpowiedzi. Atakujący mogą czytać wewnętrzne usługi HTTP oraz metadane chmury, w tym poświadczenia IAM, wysyłając złośliwe adresy URL bez walidacji hosta i ograniczeń przekierowań.
- CVE-2026-86438Wysokie
Lara Dashboard przed wersją 1.3.2 nie autoryzuje poprawnie akcji Livewire installModule w MarketplaceModuleBrowser, co pozwala administratorom niebędącym Superadminami na instalowanie modułów. Atakujący może pobrać i automatycznie aktywować dowolne moduły PHP z marketplace przez niepodpisane żądania HTTP, osiągając zdalne wykonanie kodu.
- CVE-2026-86436Średnie
Lara Dashboard przed wersją 1.3.2 nie autoryzuje dostępu do punktów końcowych przesyłania obrazów i wideo w kreatorze postów, co pozwala uwierzytelnionym kontom bez uprawnień do treści na przesyłanie plików. Atakujący mogą przesyłać pliki poliglotyczne z wybranymi rozszerzeniami do publicznego katalogu i wykonać kod, jeśli wdrożenie na to pozwala.
Oryginalny opis (angielski, źródło NVD)
Lara Dashboard before 1.3.2 authorizes the POST /admin/settings/core-upgrades/upload endpoint with only the settings.edit permission, allowing non-Superadmin administrators to upload and extract arbitrary zip archives over the live application source code. Attackers can upload a malicious archive containing modified application files such as routes/web.php with embedded system commands, which execute as the web server user with access to environment secrets and database credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS