CVE-2026-54181

backpack/crud, kullanıcıların özel yönetim panelleri oluşturmasına yardımcı olan bir Laravel paketleri koleksiyonu olan Backpack için Oluşturma, Okuma, Güncelleme ve Silme (CRUD) işlevleri sağlar. 6.0.0 ile 6.8.14 ve 7.0.38 sürümleri arasında, src/resources/views/crud/columns/color.blade.php dosyası varsayılan olarak true olan $column['escaped'] tarafından kontrol edilen kaçış karakterli (escaped) ve ham (raw) işleme dallarını tersine çevirerek $column['text'] değerinin varsayılan olarak kaçış karakterleri olmadan işlenmesine neden olur. Bir renk sütununa temizlenmemiş bir değer kaydedebilen bir saldırgan, CRUD listesini görüntüleyen yönetici dahil herhangi bir kullanıcının tarayıcısında betik çalıştırabilir ve kurbanın oturum tabanlı uygulama yeteneklerine erişebilir. İstismar edilmesi için kayıtlı renk değerine yazma erişimi ve listenin bir kurban tarafından görüntülenmesi gerekir. Bu sorun 6.8.14 ve 7.0.38 sürümlerinde düzeltilmiştir.