← 戻る
CVE-2026-86437
high
CVSS 7.2
Lara Dashboard before 1.3.2 authorizes the POST /admin/settings/core-upgrades/upload endpoint with only the settings.edit permission, allowing non-Superadmin administrators to upload and extract arbit...
概要
Lara Dashboard before 1.3.2 authorizes the POST /admin/settings/core-upgrades/upload endpoint with only the settings.edit permission, allowing non-Superadmin administrators to upload and extract arbitrary zip archives over the live application source code. Attackers can upload a malicious archive co...
AI要約 openai / gpt-4o
Lara Dashboard 1.3.2以前には、非Superadmin権限を持つ管理者がライブアプリケーションのソースコード上に任意のZIPアーカイブをアップロードして展開できる脆弱性があります。これにより、攻撃者はシステムコマンドを含む悪意あるアーカイブをアップロードし、アプリケーションのファイルを変更し、環境シークレットやデータベース資格情報にアクセスできる可能性があります。
❓ 何が問題か
非Superadminが任意のZIPアーカイブをアップロードして展開可能な脆弱性。
📍 影響範囲
Lara Dashboard 1.3.2以前のPOST /admin/settings/core-upgrades/uploadエンドポイント
🔥 重要度
攻撃者がシステムコマンドを実行可能で、環境シークレットやDB資格情報にアクセスできるため、影響が大きい。
🔧 修正方法
バージョン1.3.2にアップデートすることでこの問題を修正。
🛡️ 暫定回避
設定変更で当該エンドポイントのアクセスを制御。
🔍 検知方法
設定.edit権限を持つ利用者のアクセスログを確認する。