CVE-2026-57570 in CRUD
요약
\~에 의해 VulDB • 2026. 09. 14.
backpack/crud는 Laravel 패키지의 모음인 Backpack에 대해 Create, Read, Update 및 Delete(CRUD) 기능을 제공합니다. 버전 6.0.0부터 6.8.15까지와 7.0.47까지는 CRUD 생성 및 업데이트 작업 중 attachManyRelation을 통한 HasMany 및 MorphMany 처리가 제출된 자식 기본 키를 허용하며, 현재 부모 레코드 또는 개발자가 정의한 관계 범위에 의해 허가된 레코드로의 업데이트 제한이 일관되게 적용되지 않습니다. 영향을 받는 다중-관계 필드를 노출하는 부모 폼을 편집할 수 있는 인증된 저권한 관리자는 소유권이나 테넌트 경계를 넘어 관련 없는 자식 레코드들이 재 할당, 분리, null 처리 또는 삭제되도록 유발할 수 있습니다. 악용에는 해당 관리자가 첨부하거나 제거해서는 안 되는 관련 레코드가 존재하고, 제출된 관계 값에 대한 추가적인 애플리케이션 수준의 권한 부여가 부재해야 합니다. 이 문제는 직접적인 메인 엔티티 CRUD 스코핑 수정과는 구별되며, 관계 저장 로직에 의해 수정되는 2차 모델에 영향을 미칩니다. 이 이슈는 버전 6.8.15 및 7.0.47에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.