CVE-2026-54179 in CRUD
Riassunto
di VulDB • 31/08/2026
backpack/crud fornisce funzioni Create, Read, Update & Delete (CRUD) per Backpack, una raccolta di pacchetti Laravel che aiutano gli utenti a creare pannelli di amministrazione personalizzati. Dalla versione 6.0.0 alla 6.8.14 e dalla 7.0.37 in poi, i metodi `SingleBase64Image::uploadFiles` e `SingleBase64Image::uploadRepeatableFiles` del file `src/app/Library/Uploaders/SingleBase64Image.php`, utilizzati dai campi immagine tramite `withFiles()`, accettano qualsiasi data URI che inizia con `data:image` senza validare il sottotipo MIME dichiarato o i byte decodificati, mentre il metodo `FileNameGenerator::getExtensionFromFile` del file `src/app/Library/Uploaders/Support/FileNameGenerator.php` applica `mime_content_type()` al data URI invece che al contenuto decodificato. Un amministratore autenticato può quindi memorizzare contenuti di file arbitrari con un nome privo di estensione sul disco configurato, il che può causare stored cross-site scripting (XSS) o altri comportamenti imprevisti quando il file viene servito e accessibile. Questo problema è risolto nelle versioni 7.0.38 e 6.8.14.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.