CVE-2026-54178 in CRUD
الملخص
بحسب VulDB • 15/09/2026
يوفر الحزمة backpack/crud وظائف الإنشاء والقراءة والتحديث والحذف (CRUD) لـ Backpack، وهي مجموعة من حزم Laravel التي تساعد المستخدمين في بناء لوحات إدارة مخصصة. قبل الإصدارين 6.8.12 و7.0.35، تعتمد الدالة HasUploadFields::uploadMultipleFilesToDisk الموجودة في src/app/Models/Traits/HasUploadFields.php على المسارات النسبية للقرص (disk-relative paths) القادمة من clear_<attribute>[] وتنقلها إلى Storage::disk()->delete دون التأكد من أن هذه المسارات محفوظة ضمن سجل النموذج الحالي. يمكن لمستخدم مُصادق عليه يمتلك صلاحيات التحديث في لوحة CRUD تستخدم هذا المُعدّل (mutator) عبر src/app/Models/Traits/CrudTrait.php، حذف مرفقات سجل آخر، أو أصول مشتركة، أو ملفات تشغيلية أخرى على القرص المكوّن عن طريق تقديم مسارها. لا تتأثر أداة رفع الملفات المتعددة الأحدث لأنها تقاطع عمليات الحذف المطلوبة مع قائمة الملفات المحفوظة للسجل. لا يسمح هذا العيب بقراءة الملفات التي تم حذفها. تظل سلسلة الإصدارات 5.x متأثرة حتى إصداراتها النهائية. تمت معالجة هذه المشكلة في الإصدارين 6.8.12 و7.0.35.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.