CVE-2026-54178 in CRUD
Résumé
par VulDB • 14/09/2026
backpack/crud fournit des fonctions de Create, Read, Update & Delete (CRUD) pour Backpack, une collection de packages Laravel qui aident les utilisateurs à créer des panneaux d'administration personnalisés. Avant les versions 6.8.12 et 7.0.35, la méthode HasUploadFields::uploadMultipleFilesToDisk dans src/app/Models/Traits/HasUploadFields.php fait confiance aux chemins relatifs au disque provenant de clear_<attribute>[] et les transmet à Storage::disk()->delete sans confirmer que ces chemins sont persistés dans l'enregistrement actuel du modèle. Un utilisateur authentifié disposant d'un accès Update à un CRUD utilisant ce mutateur via src/app/Models/Traits/CrudTrait.php peut supprimer la pièce jointe d'un autre enregistrement, une ressource partagée ou un autre fichier opérationnel sur le disque configuré en soumettant son chemin. Le nouvel uploader MultipleFiles n'est pas affecté car il croise les suppressions demandées avec la liste des fichiers persistés de l'enregistrement. Cette faille ne permet pas de lire les fichiers supprimés. La branche 5.x reste vulnérable jusqu'à ses versions finales. Ce problème est corrigé dans les versions 6.8.12 et 7.0.35.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.