CVE-2026-54180 in CRUD
Resumen
por VulDB • 2026-09-14
backpack/crud proporciona funciones de Create, Read, Update y Delete (CRUD) para Backpack, una colección de paquetes de Laravel que ayudan a los usuarios a construir paneles de administración personalizados. Desde la versión 6.0.0 hasta las versiones 6.8.14 y 7.0.38, las operaciones de Update, Delete y Reorder resuelven registros mediante la consulta del modelo sin alcance (unscoped model query) en lugar de la consulta configurada a través de addClause() o addBaseClause(). Por lo tanto, un usuario autenticado que conozca o adivine la clave primaria de un registro fuera de su ámbito puede modificar, eliminar u ordenar registros ocultos por el tenant, propiedad u otros ámbitos de control de acceso a nivel de fila. Las aplicaciones que no dependen de cláusulas de consulta CRUD para la autorización no se ven afectadas por este bypass específico. La solución dirige las tres operaciones de escritura a través de getModelWithCrudPanelQuery(), coincidiendo con el comportamiento de lista y lectura con alcance (scoped). Este problema está corregido en las versiones 6.8.14 y 7.0.38.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.