CVE-2026-54176 in CRUD
요약
\~에 의해 VulDB • 2026. 09. 14.
backpack/crud는 Laravel 패키지 모음인 Backpack를 사용하여 사용자 정의 관리 패널을 구축하는 데 도움이 되는 Create, Read, Update 및 Delete(CRUD) 기능을 제공합니다. 버전 6.0.0부터 6.8.14까지 및 7.0.38에서 MyAccountController::postAccountInfoForm는 POST /admin/edit-account-info를 통해 AccountInfoRequest가 기본값으로 email인 backpack_authentication_column()을 현재 비밀번호(current_password)의 요구 없이 또는 계정 기존 비밀번호의 다른 검증 절차 없이 업데이트할 수 있습니다. 임시로 인증된 Backpack 세션을 가진 공격자는 계정 복구 이메일을 변경한 후 원래 세션이 만료된 후에 비밀번호 재설정 흐름을 사용하여 세션 침해가 영구적인 계정 탈취으로 전환되도록 할 수 있습니다. 동일한 메커니즘은 내부자가 접근 권한이 박탈되기 전에 개인용 복구 주소를 설정할 수 있게 합니다. 별도의 비밀번호 변경 엔드포인트는 old_password를 검증하므로 영향을 받지 않습니다. 이 문제는 버전 6.8.14 및 7.0.38에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.