CVE-2026-54181 in CRUD
Riassunto
di VulDB • 14/09/2026
backpack/crud fornisce funzioni Create, Read, Update & Delete (CRUD) per Backpack, una raccolta di pacchetti Laravel che aiutano gli utenti a creare pannelli di amministrazione personalizzati. Dalla versione 6.0.0 alla 6.8.14 e dalla 7.0.38 in poi, il file src/resources/views/crud/columns/color.blade.php inverte i rami di rendering con escape e grezzi controllati da $column['escaped'], che ha come valore predefinito true, causando la renderizzazione non filtrata (unescaped) del contenuto di $column['text'] per impostazione predefinita. Un attaccante in grado di memorizzare un valore non sanitizzato in una colonna color può eseguire script nel browser di un utente che visualizza l'elenco CRUD, incluso un amministratore, con accesso alle funzionalità dell'applicazione basate sulla sessione della vittima. Lo sfruttamento richiede l'accesso in scrittura al valore del colore memorizzato e la presenza di una vittima che visualizzi l'elenco. Questo problema è risolto nelle versioni 6.8.14 e 7.0.38.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.