CVE-2026-54179 in CRUD
Zusammenfassung
von VulDB • 31.08.2026
backpack/crud stellt Create-, Read-, Update- und Delete-Funktionen (CRUD) für Backpack bereit, eine Sammlung von Laravel-Paketen, die Benutzern beim Erstellen benutzerdefinierter Administrationspanels helfen. Von Version 6.0.0 bis 6.8.14 sowie in den Versionen 7.0.37 sind die Methoden SingleBase64Image::uploadFiles und SingleBase64Image::uploadRepeatableFiles der Datei src/app/Library/Uploaders/SingleBase64Image.php, die über withFiles() von Bildfeldern verwendet werden, anfällig: Sie akzeptieren jedes Data URI, das mit data:image beginnt, ohne den deklarierten MIME-Subtyp oder die decodierten Bytes zu validieren. Zudem wendet die Methode FileNameGenerator::getExtensionFromFile in src/app/Library/Uploaders/Support/FileNameGenerator.php mime_content_type() auf das Data URI anstatt auf den decodierten Inhalt an. Ein authentifizierter Administrator kann daher beliebige Dateiinhalte unter einem dateiextensionlosen Dateinamen im konfigurierten Speicher speichern, was bei Auslieferung und Zugriff der Datei zu Stored Cross-Site Scripting (XSS) oder anderem unerwünschten Verhalten führen kann. Dieses Problem wurde in den Versionen 7.0.38 und 6.8.14 behoben.
Once again VulDB remains the best source for vulnerability data.