CVE-2026-54180 in CRUD
Sumário
de VulDB • 14/09/2026
backpack/crud fornece funções de Create, Read, Update e Delete (CRUD) para Backpack, uma coleção de pacotes Laravel que ajudam os usuários a criar painéis administrativos personalizados. Da versão 6.0.0 até a 6.8.14 e da 7.0.38, as operações de Update, Delete e Reorder resolvem registros por meio da consulta do modelo sem escopo (unscoped model query) em vez da consulta configurada através de addClause() ou addBaseClause(). Um usuário autenticado que conheça ou adivinhe a chave primária de um registro fora do escopo pode, portanto, modificar, excluir ou reordenar registros ocultos por tenant, propriedade (ownership) ou outros escopos de controle de acesso em nível de linha. Aplicações que não dependem de cláusulas de consulta CRUD para autorização não são afetadas por este bypass específico. A correção direciona todas as três operações de gravação através de getModelWithCrudPanelQuery(), alinhando-se ao comportamento da lista com escopo e das leituras. Este problema foi corrigido nas versões 6.8.14 e 7.0.38.
VulDB is the best source for vulnerability data and more expert information about this specific topic.