CVE-2026-90932
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
LaraDashboard w wersjach od 0.9.2 do 1.2.2 zawiera podatność path traversal w obsłudze kopii zapasowych podczas aktualizacji rdzenia. CoreUpgradeController i BackupService łączą wartość backup_file/filename podaną przez użytkownika bezpośrednio ze ścieżką katalogu kopii zapasowych, bez normalizacji, bez użycia basename() i bez weryfikacji, czy wynikowa ścieżka pozostaje w storage/app/core-backups. Uwierzytelniony użytkownik z uprawnieniem settings.edit może użyć sekwencji ../ do usunięcia dowolnych plików lub przywrócenia archiwum ZIP z dowolnej lokalizacji, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Uwierzytelniony użytkownik bez uprawnień superadministratora może usuwać dowolne pliki na hoście lub zapisywać złośliwe pliki w katalogach aplikacji, co może skutkować pełnym przejęciem serwera. Brak dostępnej poprawionej wersji zwiększa ryzyko.
Rekomendacja
Należy natychmiast ograniczyć uprawnienie settings.edit do zaufanych administratorów oraz rozważyć wyłączenie funkcji kopii zapasowych do czasu wydania poprawki. Zaleca się również monitorowanie nietypowych operacji na plikach.
Inne podatności w LaraDashboard
Zobacz wszystkie- CVE-2026-90933Wysokie
laradashboard do wersji 1.2.2 zawiera podatność braku autoryzacji w endpointach Local License API, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać, nadpisywać i usuwać klucze licencji modułów premium. Atakujący z kontem o niskich uprawnieniach może uzyskać dostęp do endpointów GET /api/admin/licenses/show, POST /api/admin/licenses/store i POST /api/admin/licenses/remove, aby ujawnić poufne klucze licencji, wstrzyknąć wartości kontrolowane przez atakującego lub całkowicie usunąć przechowywane licencje.
- CVE-2026-90931Średnie
LaraDashboard w wersjach 0.9.0 do 1.2.2 nie oczyszcza zawartości plików SVG podczas przesyłania multimediów, co pozwala uwierzytelnionym użytkownikom z uprawnieniem media.create na przesyłanie złośliwych plików SVG zawierających skrypty. Gdy jakikolwiek użytkownik, w tym administrator, otworzy przechowywany plik SVG wyświetlany w kontekście aplikacji, osadzony JavaScript wykonuje się w kontekście pulpitu, umożliwiając przejęcie sesji i konta administratora.
Oryginalny opis (angielski, źródło NVD)
LaraDashboard versions 0.9.2 through 1.2.2 contain a path traversal vulnerability in the core-upgrade backup handling. CoreUpgradeController and BackupService (e.g. BackupService::deleteBackup()) concatenate the user-supplied backup_file/filename value directly onto the backup directory path without normalisation, without applying basename(), and without verifying that the resolved path remains inside storage/app/core-backups; the corresponding form requests only validate the value as a bounded string. An authenticated user holding only the delegated settings.edit permission (not Superadmin) can supply ../ traversal sequences to delete arbitrary files reachable on the host filesystem, including outside the application tree, or to restore a ZIP archive from an arbitrary on-disk location, writing arbitrary files into the application directories and achieving remote code execution. Note: the advisory states the vulnerable concatenation was introduced in the v0.9.7 release line. No patched version was available at the time of publication.