CVE-2026-54181 in CRUD
Zusammenfassung
von VulDB • 14.09.2026
backpack/crud bietet Create, Read, Update & Delete (CRUD)-Funktionen für Backpack, eine Sammlung von Laravel-Paketen, die Benutzern dabei helfen, benutzerdefinierte Administrationspanels zu erstellen. Von Version 6.0.0 bis 6.8.14 sowie in den Versionen 7.0.38 wird in src/resources/views/crud/columns/color.blade.php die Steuerung der Zweige für das Escaping und das Raw-Rendering durch $column['escaped'] umgekehrt, wobei standardmäßig true vorausgesetzt wird; dies führt dazu, dass $column['text'] standardmäßig unescapet gerendert wird. Ein Angreifer, der einen nicht bereinigten Wert in einer Farbspalte speichern kann, kann Skripte im Browser eines Benutzers ausführen, der die CRUD-Liste ansieht (einschließlich eines Administrators), und damit auf die an die Sitzung des Opfers gebundenen Anwendungsfunktionen zugreifen. Die Ausnutzung erfordert Schreibzugriff auf den gespeicherten Farbwert sowie das Ansehen der Liste durch ein Opfer. Dieses Problem wurde in den Versionen 6.8.14 und 7.0.38 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.