جزئیات آسیب‌پذیری

CVE-2026-120487

laradashboard laradashboard

LaraDashboard before 1.4.5 Incorrect Authorization via SettingPolicy Core Upgrades

CVSS 4.0

8.6بالا

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

LaraDashboard before 1.4.5 contains an incorrect authorization vulnerability in SettingPolicy::manageCoreUpgrades() that allows non-Superadmin administrators with settings.edit to access Superadmin-only core-upgrade operations. Attackers can use the /admin/settings/core-upgrades backup, download, restore and upgrade actions to obtain database dumps containing password hashes and restore or upgrade the site.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.6بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
7.2بالا	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
laradashboard	laradashboard	v < 1.4.5	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/laradashboard/laradashboard/security/advisories/GHSA-rjjq-v76w-8jh4 vendor-advisory
https://github.com/laradashboard/laradashboard/commit/fdb77b898e6bb0a0df82bbf979c2bfba38a81532 patch
https://github.com/laradashboard/laradashboard/releases/tag/v1.4.5 release-notes
https://github.com/laradashboard/laradashboard/blob/v1.4.2/app/Policies/SettingPolicy.php#L47-L50 technical-description
https://www.vulncheck.com/advisories/laradashboard-before-1.4.5-incorrect-authorization-via-settingpolicy-core-upgrades third-party-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۱۱
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۱۱
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۴۸٪

احتمال بهره‌برداری در ۳۰ روز

۴۱٫۷٪

صدک (نسبت به همه‌ی CVEها)

ضعف‌ها (CWE)

CWE-863
Incorrect Authorization