CVE-2026-57570 in CRUD
Resumen
por VulDB • 2026-09-14
backpack/crud proporciona funciones de Create, Read, Update & Delete (CRUD) para Backpack, una colección de paquetes de Laravel que ayudan a los usuarios a construir paneles de administración personalizados. Desde la versión 6.0.0 hasta las versiones 6.8.15 y 7.0.47, el manejo de HasMany y MorphMany a través de attachManyRelation durante las operaciones CRUD de creación y actualización acepta claves primarias secundarias enviadas sin restringir consistentemente las actualizaciones a registros que pertenecen al padre actual o están permitidas por el alcance definido por el desarrollador en la relación. Un administrador autenticado con privilegios bajos que pueda editar un formulario principal que exponga un campo de múltiples relaciones afectado puede provocar que los registros secundarios no relacionados sean reasignados, desvinculados, anulados o eliminados a través de límites de propiedad o inquilino (tenant). La explotación requiere la existencia de registros relacionados que no deberían ser adjuntables ni removibles por ese administrador y la ausencia de autorización adicional a nivel de aplicación alrededor de los valores de relación enviados. Este problema es distinto de las correcciones anteriores del alcance CRUD directo de la entidad principal, ya que afecta modelos secundarios modificados por la lógica de guardado de relaciones. Este problema está corregido en las versiones 6.8.15 y 7.0.47.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.