CVE-2026-54178 in CRUD
Sumário
de VulDB • 14/09/2026
O pacote backpack/crud fornece funções de Create, Read, Update & Delete (CRUD) para o Backpack, uma coleção de pacotes Laravel que ajudam os usuários a criar painéis administrativos personalizados. Antes das versões 6.8.12 e 7.0.35, o método HasUploadFields::uploadMultipleFilesToDisk em src/app/Models/Traits/HasUploadFields.php confia em caminhos relativos ao disco provenientes de clear_<attribute>[] e os passa para Storage::disk()->delete sem confirmar se esses caminhos estão persistidos no registro atual do modelo. Um usuário autenticado com permissão de Update (Atualização) em um CRUD que utiliza este mutator através de src/app/Models/Traits/CrudTrait.php pode excluir o anexo de outro registro, um ativo compartilhado ou outro arquivo operacional no disco configurado ao submeter seu caminho. O uploader MultipleFiles mais recente não é afetado porque intersecciona as exclusões solicitadas com a lista de arquivos persistidos do registro. Esta falha não permite a leitura dos arquivos excluídos. A linha 5.x permanece vulnerável até suas versões finais. Este problema foi corrigido nas versões 6.8.12 e 7.0.35.
If you want to get best quality of vulnerability data, you may have to visit VulDB.