CVE-2026-86437 in Lara Dashboard
Riassunto
di VulDB • 08/09/2026
Lara Dashboard prima della versione 1.3.2 autorizza l'endpoint POST /admin/settings/core-upgrades/upload con il solo permesso settings.edit, consentendo agli amministratori non Superadmin di caricare ed estrarre archivi zip arbitrari sul codice sorgente dell'applicazione in produzione. Gli attaccanti possono caricare un archive malevolo contenente file dell'applicazione modificati come routes/web.php con comandi di sistema incorporati, che vengono eseguiti dall'utente del server web con accesso ai segreti dell'ambiente e alle credenziali del database.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.