CVE-2026-57570

backpack/crud, istifadəçilərə xüsusi administrasiya panelləri qurmağa kömək edən Laravel paketləri toplusu olan Backpack üçün Create, Read, Update & Delete (CRUD) funksiyalarını təmin edir. 6.0.0 versiyasından 6.8.15 və 7.0.47 versiyalarına qədər, CRUD yaratma və yeniləmə əməliyyatları zamanı attachManyRelation vasitəsilə həyata keçirilən HasMany və MorphMany idarəetməsi, göndərilmiş alt ilkin açarları (primary keys), yeniləmələri ardıcıl olaraq cari valideynə aid olan qeydlərlə və ya tərtibatçı tərəfindən müəyyən edilmiş əlaqə dairəsi ilə məhdudlaşdırmadan qəbul edir. Təsirə məruz qalan çoxlu-əlaqə sahəsi olan valideyn formasını redaktə edə bilən autentifikasiya olunmuş aşağı səlahiyyətli administrator, mülkiyyət və ya tenant sərhədlərini aşaraq əlaqəsiz alt qeydlərin yenidən təyin edilməsinə, ayrılmasına, sıfırlanmasına və ya silinməsinə səbəb ola bilər. Bu boşluğun istismarı üçün həmin administrator tərəfindən əlavə edilə və ya silinə bilməyən əlaqəli qeydlərin mövcudluğu və göndərilən əlaqə dəyərləri ətrafında tətbiq səviyyəsində əlavə avtorizasiyanın olmaması tələb olunur. Bu problem, əvvəlki birbaşa əsas obyekt CRUD dairəsi düzəlişlərindən fərqlidir, çünki o, əlaqə yaddaşa yazma məntiqi tərəfindən dəyişdirilən ikinci dərəcəli modellərə təsir göstərir. Bu problem 6.8.15 və 7.0.47 versiyalarında aradan qaldırılmışdır.