CVE-2026-54176

backpack/crud, istifadəçilərə xüsusi administrasiya panelləri qurmağa kömək edən Laravel paketləri toplusu olan Backpack üçün Create, Read, Update & Delete (CRUD) funksiyalarını təmin edir. 6.0.0 versiyasından 6.8.14 və 7.0.38 versiyalarına qədər, POST /admin/edit-account-info ünvanındakı MyAccountController::postAccountInfoForm, AccountInfoRequest-ə current_password tələb etmədən və ya hesabın mövcud şifrəsini digər yollarla təsdiqləmədən, standart olaraq email olan backpack_authentication_column()-u yeniləməyə icazə verir. Müvəqqəti autentifikasiya olunmuş Backpack sessiyasına malik hücumçu, hesabın bərpa emailini dəyişdirə və daha sonra orijinal sessiya başa çatdıqdan sonra şifrənin sıfırlanması prosesindən istifadə edərək, sessiyanın ələ keçirilməsini daimi hesab ələ keçirməsinə çevirə bilər. Eyni mexanizm daxili istifadəçiyə giriş hüquqları ləğv edilməzdən əvvəl şəxsi bərpa ünvanını təyin etməyə imkan verir. Ayrı şifrə dəyişdirmə nöqtəsi (endpoint) old_password-u təsdiqlədiyi üçün bu problemdən təsirlənmir. Bu problem 6.8.14 və 7.0.38 versiyalarında düzəldilmişdir.