XSS (Cross-Site Scripting) dans backpack/crud (CVE-2026-54179)
Résumé
XSS dans backpack/crud (CVE-2026-54179). Risque d'opérations non autorisées ou de divulgation. Exploitable via image. Atténuation : mise à jour vers 7.0.38 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
SingleBase64Image::uploadFiles — the uploader bound to image-typed fields via withFiles() — only verifies that the submitted value starts with the string data:image. The MIME subtype and the base64-decoded bytes are never inspected or validated. A related bug in FileNameGenerator causes the stored file to receive an extensionless filename, because mime_content_type() returns false when given a data URI instead of a filesystem path.
The combination allows an authenticated admin to store a file of arbitrary type on the configured disk under a name without a recognizable extension.
Details
// src/app/Library/Uploaders/SingleBase64Image.php
if (Str::startsWith($value, 'data:image')) {
// MIME subtype and decoded bytes are not validated
$base64Image = Str::after($value, ';base64,');
$finalPath = $this->getPath() . $this->getFileName($value);
Storage::disk($this->getDisk())->put($finalPath, base64_decode($base64Image));
return $finalPath;
}
// src/app/Library/Uploaders/Support/FileNameGenerator.php
private function getExtensionFromFile(string|UploadedFile $file): string
{
return is_a($file, UploadedFile::class, true)
? $file->extension()
: Str::after(mime_content_type($file), '/'); // returns false on data URIs → empty string
}
The stored filename ends with a trailing dot and no extension.
Impact
An authenticated admin submitting a malicious payload to a Backpack image field stored with…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-54179 a été découverte dans backpack/crud.
Des attaquants peuvent cibler un point d'entrée spécifique comme image à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.4/10.
Action : mettez à jour backpack/crud vers 7.0.38 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « backpack/crud CVE-2026-54179 » sur le site de l'éditeur.
CVE-2026-54179 (backpack/crud) — CWE-79 / CVSS v3 4.4
Vecteur d'attaque : distant (réseau)
Surface d'attaque : image / FileNameGenerator / false / finfo
Correctif : 7.0.38 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte backpack/crud. Les attaquants atteignent le code vulnérable via image.
Consultez l'avis de l'éditeur pour les versions affectées de backpack/crud. Surface d'attaque : image / FileNameGenerator / false / finfo.
Gravité : Moyenne (CVSS 4.4/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 7.0.38.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'backpack/crud' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
backpack/crudを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade backpack/crud to 7.0.38ステージング環境で 7.0.38 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web security-advisories@github.com
- web security-advisories@github.com