CVE-2026-54177 in CRUD
Zusammenfassung
von VulDB • 14.09.2026
backpack/crud bietet Create, Read, Update & Delete (CRUD)-Funktionen für Backpack, eine Sammlung von Laravel-Paketen, die Benutzern beim Erstellen benutzerdefinierter Administrationspanels helfen. Von Version 6.0.0 bis 6.8.14 sowie in den Versionen 7.0.38 lehnen die über CrudTrait verwendeten Methoden uploadFileToDisk und uploadMultipleFilesToDisk der Klasse HasUploadFields sowie der Pfad mitFiles() über FileNameGenerator intern keine serverausführbaren Dateitypen ab. Ein authentifizierter Administrator kann Remote Code Execution (RCE) erreichen, indem er ein Upload-fähiges CRUD-Feld ohne mimes: und mimetypes:-Validierung verwendet, wenn das öffentliche Laufwerk (public disk) über php artisan storage:link webzugänglich ist und die Webserver- sowie PHP-FPM-Konfiguration die gespeicherte Erweiterung ausführt. Der Legacy-Pfad behält eine akzeptierte Erweiterung bei, während der neuere Pfad eine Extension ableitet, ohne gefährliche Typen zu blockieren. Die paketweite Einschränkung dient als Defense in Depth und ersetzt keine anwendungsseitige Upload-Validierung. Dieses Problem wurde in den Versionen 6.8.14 und 7.0.38 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.