CVE-2026-90932

Nome do Software Vulnerável e Versões Afetadas LaraDashboard versões 0.9.2 through 1.2.2

Description Um problema de path traversal existe no tratamento de backup de atualização do núcleo. O CoreUpgradeController e o BackupService (especificamente a função deleteBackup()) concatenam as variáveis backup file ou filename fornecidas pelo usuário diretamente ao caminho do diretório de backup sem normalização ou verificação de que o caminho permaneça dentro do diretório pretendido. Um usuário autenticado com permissões settings.edit pode usar sequências de travessia para excluir arquivos arbitrários no sistema de arquivos do host ou restaurar um arquivo ZIP de um local não autorizado, o que pode levar à execução remota de código ao gravar arquivos arbitrários nos diretórios da aplicação.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.