CVE-2026-54178 in CRUD
要約
〜によって VulDB • 2026年09月14日
backpack/crudは、LaravelパッケージのコレクションであるBackpackのために、作成・読み取り・更新・削除（CRUD）機能を提供します。バージョン6.8.12および7.0.35以前では、src/app/Models/Traits/HasUploadFields.php内のHasUploadFields::uploadMultipleFilesToDiskは、clear_<attribute>[]からディスク相対パスを信頼し、Storage::disk()->deleteに渡す際に、そのパスが現在のモデルレコード上に永続化されているかを確認していません。このmutator（src/app/Models/Traits/CrudTrait.php経由）を使用するCRUDに対する更新権限を持つ認証済みユーザーは、そのパスを送信することで、構成されたディスク上の別のレコードの添付ファイル、共有アセット、または他の運用ファイルを削除できます。新しいMultipleFilesアップローダーは、要求された削除をレコードに永続化されたファイルリストと交差させるため、影響を受けません。この欠陥により、削除されたファイルを読み取ることはできません。5.x系統は最終リリースまで影響を受けています。本問題はバージョン6.8.12および7.0.35で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.