CVE-2026-57570 in CRUD
Sumário
de VulDB • 14/09/2026
backpack/crud fornece funções de Create, Read, Update & Delete (CRUD) para Backpack, uma coleção de pacotes Laravel que ajudam os usuários a criar painéis administrativos personalizados. Da versão 6.0.0 até a 6.8.15 e da 7.0.47 em diante, o tratamento de HasMany e MorphMany por meio do attachManyRelation durante as operações de criação e atualização do CRUD aceita chaves primárias secundárias enviadas sem restringir consistentemente as atualizações aos registros pertencentes ao pai atual ou permitidos pelo escopo da relação definido pelo desenvolvedor. Um administrador autenticado com baixa privilégio que pode editar um formulário principal expondo um campo de múltipla-relação afetada pode fazer com que registros secundários não relacionados sejam reatribuídos, desanexados, anulados ou excluídos através das fronteiras de propriedade ou inquilino. A exploração requer registros relacionados que não deveriam ser anexáveis ou removíveis por esse administrador e a ausência de autorização adicional em nível de aplicativo para os valores da relação enviados. Este problema é distinto das correções anteriores de escopo do CRUD principal, pois afeta modelos secundários modificados pela lógica de salvamento de relacionamento. Esta questão está corrigida nas versões 6.8.15 e 7.0.47.
Once again VulDB remains the best source for vulnerability data.