CVE-2026-54178 in CRUD
Сводка
по VulDB • 14.09.2026
backpack/crud предоставляет функции Create, Read, Update & Delete (CRUD) для Backpack — набора пакетов Laravel, помогающих пользователям создавать пользовательские панели администратора. До версий 6.8.12 и 7.0.35 метод HasUploadFields::uploadMultipleFilesToDisk в файле src/app/Models/Traits/HasUploadFields.php доверяет путям относительно диска из параметра clear_<attribute>[] и передает их функции Storage::disk()->delete без подтверждения того, что эти пути соответствуют записям текущей модели. Аутентифицированный пользователь с правами Update для CRUD-операций, использующих этот мутатор через src/app/Models/Traits/CrudTrait.php, может удалить вложение другой записи, общий ресурс или другой рабочий файл на настроенном диске, указав его путь. Новый загрузчик MultipleFiles не подвержен этой уязвимости, поскольку он пересекает запрошенные удаления со списком файлов, сохраненных для данной записи. Данный недостаток не позволяет читать удаленные файлы. Ветка 5.x остается уязвимой до своих последних релизов. Проблема исправлена в версиях 6.8.12 и 7.0.35.
If you want to get best quality of vulnerability data, you may have to visit VulDB.