CVE-2026-57570

backpack/crud, kullanıcıların özel yönetim panelleri oluşturmalarına yardımcı olan bir Laravel paketleri koleksiyonu olan Backpack için Oluşturma, Okuma, Güncelleme ve Silme (CRUD) işlevleri sağlar. 6.0.0 ile 6.8.15 ve 7.0.47 sürümleri arasında, CRUD oluşturma ve güncelleme işlemleri sırasında attachManyRelation aracılığıyla gerçekleştirilen HasMany ve MorphMany işlemleri, gönderilen alt birincil anahtarları; güncellemeleri mevcut üst kayıtlara ait kayıtlarla veya geliştirici tarafından tanımlanan ilişki kapsamıyla tutarlı bir şekilde kısıtlamadan kabul etmektedir. Etkilenen çoklu ilişki alanını içeren bir üst formu düzenleyebilen kimliği doğrulanmış düşük yetkili bir yönetici, ilişkisiz alt kayıtların sahiplik veya kiracı sınırları ötesinde yeniden atanmasına, ayrılmasına, sıfırlanmasına veya silinmesine neden olabilir. İstismar edilmesi, söz konusu yönetici tarafından eklenemeyecek veya kaldırılamayacak ilgili kayıtların bulunmasını ve gönderilen ilişki değerleri etrafında ek uygulama düzeyinde yetkilendirmenin olmamasını gerektirir. Bu sorun, ilişki kaydetme mantığı tarafından değiştirilen ikincil modelleri etkilediği için daha önceki doğrudan ana varlık CRUD kapsamlandırma düzeltmelerinden farklıdır. Bu sorun 6.8.15 ve 7.0.47 sürümlerinde düzeltilmiştir.