Podatności Lara Dashboard

Lara Dashboard przed wersją 1.3.0 zawiera podatność obejścia uwierzytelniania w trasie screenshot-login, która pozwala nieuwierzytelnionym atakującym uwierzytelnić się jako dowolny użytkownik po adresie e-mail, gdy APP_ENV nie jest ustawione na production. Atakujący mogą wysłać żądanie GET /screenshot-login/{email} z zarejestrowanym adresem e-mail, aby otrzymać w pełni uwierzytelnioną sesję, umożliwiającą dostęp do administracji użytkownikami, ustawień, zawartości bazy danych oraz wykonanie dowolnego kodu przez instalator modułów.

Lara Dashboard do wersji 1.3.1 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w punkcie końcowym POST /api/admin/builder/markdown/fetch, która pozwala każdemu uwierzytelnionemu użytkownikowi na pobieranie dowolnych adresów URL i odczytywanie treści odpowiedzi. Atakujący mogą czytać wewnętrzne usługi HTTP oraz metadane chmury, w tym poświadczenia IAM, wysyłając złośliwe adresy URL bez walidacji hosta i ograniczeń przekierowań.

Lara Dashboard przed wersją 1.3.2 nie autoryzuje poprawnie akcji Livewire installModule w MarketplaceModuleBrowser, co pozwala administratorom niebędącym Superadminami na instalowanie modułów. Atakujący może pobrać i automatycznie aktywować dowolne moduły PHP z marketplace przez niepodpisane żądania HTTP, osiągając zdalne wykonanie kodu.

Lara Dashboard przed wersją 1.3.2 autoryzuje punkt końcowy POST /admin/settings/core-upgrades/upload tylko uprawnieniem settings.edit, co pozwala administratorom niebędącym Superadminami na przesyłanie i rozpakowywanie dowolnych archiwów zip na żywym kodzie źródłowym aplikacji. Atakujący może przesłać złośliwe archiwum ze zmodyfikowanymi plikami aplikacji, takimi jak routes/web.php z osadzonymi poleceniami systemowymi, które wykonują się jako użytkownik serwera WWW z dostępem do sekretów środowiskowych i danych uwierzytelniających bazy danych.

Lara Dashboard przed wersją 1.3.2 nie autoryzuje dostępu do punktów końcowych przesyłania obrazów i wideo w kreatorze postów, co pozwala uwierzytelnionym kontom bez uprawnień do treści na przesyłanie plików. Atakujący mogą przesyłać pliki poliglotyczne z wybranymi rozszerzeniami do publicznego katalogu i wykonać kod, jeśli wdrożenie na to pozwala.