CVE-2026-54181 in CRUD
Resumen
por VulDB • 2026-09-14
backpack/crud proporciona funciones de Create, Read, Update & Delete (CRUD) para Backpack, una colección de paquetes de Laravel que ayudan a los usuarios a construir paneles de administración personalizados. Desde la versión 6.0.0 hasta las versiones 6.8.14 y 7.0.38, el archivo src/resources/views/crud/columns/color.blade.php invierte las ramas de renderizado escapado y sin escapar controladas por $column['escaped'], que tiene como valor predeterminado true, lo que hace que $column['text'] se renderice sin escape por defecto. Un atacante que pueda almacenar un valor no sanitizado en una columna de color puede ejecutar scripts en el navegador de un usuario que vea la lista CRUD, incluido un administrador, con acceso a las capacidades de la aplicación respaldadas por la sesión de la víctima. La explotación requiere acceso de escritura al valor del color almacenado y que una víctima visualice la lista. Este problema se soluciona en las versiones 6.8.14 y 7.0.38.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.