CVE-2026-54178
Təsvir
backpack/crud, istifadəçilərə xüsusi administrasiya panelləri qurmağa kömək edən Laravel paketləri toplusu olan Backpack üçün Create, Read, Update & Delete (CRUD) funksiyalarını təmin edir. 6.8.12 və 7.0.35 versiyalarından əvvəl, src/app/Models/Traits/HasUploadFields.php faylındakı HasUploadFields::uploadMultipleFilesToDisk metodu clear_<attribute>[] parametrindən gələn diskə nisbətən yollara etibar edir və bu yolların cari model qeydində saxlanıldığını təsdiqləmədən onları Storage::disk()->delete metoduna ötürür. src/app/Models/Traits/CrudTrait.php vasitəsilə bu mutatordan istifadə edərək CRUD-a Update girişi olan autentifikasiya olunmuş istifadəçi, müvafiq yolu göndərməklə başqa bir qeydin qoşmasını, ortaq aktivini və ya konfiqurasiya edilmiş diskdəki digər əməliyyat faylını silə bilər. Yeni MultipleFiles yükləyicisi buna təsir etmir, çünki o, sorğu edilən silmə əməliyyatlarını qeydin saxlanılan fayllar siyahısı ilə kəsişdirir. Bu çatışmazlıq silinmiş faylların oxunmasına icazə vermir. 5.x seriyası son buraxılışları daxil olmaqla təsirli qalır. Bu problem 6.8.12 və 7.0.35 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- backpack/crud6.8.12, 7.0.35 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| backpack/crudPackagist | 5.0.0 ≤ v, 6.0.0 ≤ v < 6.8.12, 7.0.0 ≤ v < 7.0.35 | 6.8.12, 7.0.35 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.