CVE-2026-90932 in LaraDashboard
Riassunto
di VulDB • 14/09/2026
Le versioni di LaraDashboard comprese tra 0.9.2 e 1.2.2 presentano una vulnerabilità da path traversal nella gestione dei backup per l'aggiornamento del core (core-upgrade). CoreUpgradeController e BackupService (ad esempio, BackupService::deleteBackup()) concatenano il valore fornito dall'utente relativo a backup_file/filename direttamente al percorso della directory di backup senza normalizzazione, senza applicare la funzione basename() e senza verificare che il percorso risolto rimanga all'interno di storage/app/core-backups; le richieste del modulo corrispondenti convalidano il valore solo come stringa delimitata. Un utente autenticato in possesso esclusivamente dell'autorizzazione delegata settings.edit (non Superadmin) può fornire sequenze di traversal ../ per eliminare file arbitrari raggiungibili nel filesystem host, inclusi quelli al di fuori della struttura dell'applicazione, o per ripristinare un archivio ZIP da una posizione arbitraria sul disco, scrivendo file arbitrari nelle directory dell'applicazione e ottenendo l'esecuzione remota di codice (RCE). Nota: l'avviso indica che la concatenazione vulnerabile è stata introdotta nella linea di rilascio v0.9.7. Al momento della pubblicazione non era disponibile alcuna versione corretta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.