Traversée de chemin dans backpack/crud (CVE-2026-54178)
Résumé
Traversée de chemin dans backpack/crud (CVE-2026-54178). Les données peuvent être altérées par des attaquants. Exploitable via uploadMultipleFilesToDisk. Atténuation : mise à jour vers 7.0.35 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
HasUploadFields::uploadMultipleFilesToDisk (in src/app/Models/Traits/HasUploadFields.php) reads file paths from the clear_[] request input and deletes them from the configured storage disk without verifying that the paths belong to the current model record.
An authenticated user with Update access on any CRUD that wires uploadMultipleFilesToDisk as a model mutator (the pattern documented in the v5.x upload_multiple field guide) can supply arbitrary disk-relative paths in clear_[] to delete files that were never associated with the record they are editing.
The safe pattern already exists in the codebase: src/app/Library/Uploaders/MultipleFiles.php intersects the requested deletions against the files currently stored in the database column before calling Storage::disk()->delete(). The trait method lacks that intersection.
Affected code
src/app/Models/Traits/HasUploadFields.php—uploadMultipleFilesToDisk(primary sink)src/app/Models/Traits/CrudTrait.php— mixesHasUploadFieldsinto all Backpack-managed models
The vulnerability is present in all 5.x, 6.x < 6.8.12, and 7.x < 7.0.35 releases.
Impact
An attacker with low-privilege Backpack admin access (e.g. a content editor) can delete any file under the configured disk root: other records' attachments, shared assets, or files placed on the same disk for operational purposes. No confidentiality impact (files cannot be read, only deleted).
CWE-285 (Authorization Bypass)…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-54178 a été découverte dans backpack/crud.
Des attaquants peuvent cibler un point d'entrée spécifique comme uploadMultipleFilesToDisk à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 8.1/10.
Action : mettez à jour backpack/crud vers 7.0.35 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « backpack/crud CVE-2026-54178 » sur le site de l'éditeur.
CVE-2026-54178 (backpack/crud) — CWE-22 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : uploadMultipleFilesToDisk / upload_multiple / HasUploadFields
Correctif : 7.0.35 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une traversée de chemin (CWE-22) affecte backpack/crud. Les attaquants atteignent le code vulnérable via uploadMultipleFilesToDisk.
Consultez l'avis de l'éditeur pour les versions affectées de backpack/crud. Surface d'attaque : uploadMultipleFilesToDisk / upload_multiple / HasUploadFields.
Gravité : Élevée (CVSS 8.1/10). Les données peuvent être altérées par des attaquants.
Mettre à jour vers 7.0.35.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'backpack/crud' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
backpack/crudを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade backpack/crud to 7.0.35ステージング環境で 7.0.35 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。