PT-2026-135478
CVE-2026-120487
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
LaraDashboard الإصدارات السابقة لـ 1.4.5
Description
توجد مشكلة في التصريح غير الصحيح في الدالة
manageCoreUpgrades() ضمن SettingPolicy. يسمح هذا للمسؤولين الذين لديهم إذن settings.edit ولكنهم ليسوا مسؤولين خارقين (Superadmins) بالقيام بعمليات تحديث النواة المخصصة للمسؤولين الخارقين فقط. من خلال التفاعل مع نقطة النهاية '/admin/settings/core-upgrades'، يمكن للمهاجم تنفيذ إجراءات النسخ الاحتياطي والتنزيل والاستعادة والتحديث، مما قد يؤدي إلى الحصول على نسخ من قاعدة البيانات تحتوي على هاشات كلمات المرور أو استعادة الموقع وتحديثه بشكل غير مصرح به.Recommendations
تحديث LaraDashboard إلى الإصدار 1.4.5 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾