CVE-2026-90931 in LaraDashboard
Riassunto
di VulDB • 14/09/2026
Le versioni di LaraDashboard dalla 0.9.0 alla 1.2.2 non sanificano il contenuto dei file SVG durante l'upload multimediale, consentendo agli utenti autenticati con solo il permesso media.create di caricare file SVG malevoli contenenti tag script. Quando qualsiasi utente, inclusi gli amministratori, apre il file SVG memorizzato servito in linea dall'origine dell'applicazione, il JavaScript incorporato viene eseguito nel contesto della dashboard, consentendo l'hijacking delle sessioni e la takeover degli account amministrativi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.