CVE-2026-54181 in CRUD
الملخص
بحسب VulDB • 14/09/2026
يوفر backpack/crud وظائف الإنشاء والقراءة والتحديث والحذف (CRUD) لـ Backpack، وهي مجموعة من حزم Laravel التي تساعد المستخدمين في بناء لوحات إدارة مخصصة. من الإصدار 6.0.0 حتى 6.8.14 و7.0.38، يقوم ملف src/resources/views/crud/columns/color.blade.php بقلب فروع العرض المُهَرَّب (escaped) والبدائي (raw)، والتي يتحكم فيها المتغير $column['escaped']، والذي تكون قيمته الافتراضية true، مما يؤدي إلى عرض قيمة $column['text'] دون تهريب افتراضيًا. يمكن لمهاجم قادر على تخزين قيمة غير مُنظَّمة في عمود اللون تنفيذ سكريبتات في متصفح مستخدم يعرض قائمة CRUD، بما في ذلك مسؤول النظام (administrator)، مع القدرة على الوصول إلى قدرات التطبيق المعتمدة على جلسة المستخدم الضحية. تتطلب الاستغلال وصولاً للكتابة إلى قيمة اللون المخزنة وضحية تعرض القائمة. تم إصلاح هذه المشكلة في الإصدارات 6.8.14 و7.0.38.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.