← Retour
CVE-2026-86437
high
CVSS 7.2
Lara Dashboard before 1.3.2 authorizes the POST /admin/settings/core-upgrades/upload endpoint with only the settings.edit permission, allowing non-Superadmin administrators to upload and extract arbit...
Résumé
Lara Dashboard before 1.3.2 authorizes the POST /admin/settings/core-upgrades/upload endpoint with only the settings.edit permission, allowing non-Superadmin administrators to upload and extract arbitrary zip archives over the live application source code. Attackers can upload a malicious archive co...
Résumé IA openai / gpt-4o
Lara Dashboard 1.3.2以前には、非Superadmin権限を持つ管理者がライブアプリケーションのソースコード上に任意のZIPアーカイブをアップロードして展開できる脆弱性があります。これにより、攻撃者はシステムコマンドを含む悪意あるアーカイブをアップロードし、アプリケーションのファイルを変更し、環境シークレットやデータベース資格情報にアクセスできる可能性があります。
❓ Quel est le problème
非Superadminが任意のZIPアーカイブをアップロードして展開可能な脆弱性。
📍 Périmètre concerné
Lara Dashboard 1.3.2以前のPOST /admin/settings/core-upgrades/uploadエンドポイント
🔥 Gravité
攻撃者がシステムコマンドを実行可能で、環境シークレットやDB資格情報にアクセスできるため、影響が大きい。
🔧 Comment corriger
バージョン1.3.2にアップデートすることでこの問題を修正。
🛡️ Contournement
設定変更で当該エンドポイントのアクセスを制御。
🔍 Détection
設定.edit権限を持つ利用者のアクセスログを確認する。