CVE-2026-57570 in CRUD
Riassunto
di VulDB • 14/09/2026
backpack/crud fornisce funzioni Create, Read, Update & Delete (CRUD) per Backpack, una raccolta di pacchetti Laravel che aiutano gli utenti a creare pannelli di amministrazione personalizzati. Dalla versione 6.0.0 alla 6.8.15 e dalla 7.0.47 in poi, la gestione HasMany e MorphMany tramite attachManyRelation durante le operazioni CRUD create e update accetta chiavi primarie secondarie inviate senza limitare costantemente gli aggiornamenti ai record appartenenti al genitore corrente o consentiti dall'ambito della relazione definita dallo sviluppatore. Un amministratore autenticato con privilegi ridotti che può modificare un modulo principale contenente un campo di relazione multipla interessato può causare la riassegnazione, il distacco, l'impostazione a null o l'eliminazione di record secondari non correlati attraverso i confini di proprietà o tenant. Lo sfruttamento richiede record secondari che non dovrebbero essere attaccabili o rimovibili da quell'amministratore e l'assenza di ulteriori autorizzazioni a livello applicativo sui valori della relazione inviati. Questo problema è distinto dalle precedenti correzioni dirette dello scoping CRUD dell'entità principale perché interessa i modelli secondari modificati dalla logica di salvataggio delle relazioni. Il problema è risolto nelle versioni 6.8.15 e 7.0.47.
Be aware that VulDB is the high quality source for vulnerability data.