جزئیات آسیب‌پذیری

CVE-2026-120487

laradashboard laradashboard

LaraDashboard before 1.4.5 Incorrect Authorization via SettingPolicy Core Upgrades

CVSS 4.0

8.6بالا

شرح رسمی (انگلیسی)

LaraDashboard before 1.4.5 contains an incorrect authorization vulnerability in SettingPolicy::manageCoreUpgrades() that allows non-Superadmin administrators with settings.edit to access Superadmin-only core-upgrade operations. Attackers can use the /admin/settings/core-upgrades backup, download, restore and upgrade actions to obtain database dumps containing password hashes and restore or upgrade the site.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.6بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
7.2بالا	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
laradashboard	laradashboard	v < 1.4.5	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/laradashboard/laradashboard/commit/fdb77b898e6bb0a0df82bbf979c2bfba38a81532 patch
https://github.com/laradashboard/laradashboard/releases/tag/v1.4.5 release-notes
https://github.com/laradashboard/laradashboard/blob/v1.4.2/app/Policies/SettingPolicy.php#L47-L50 technical-description
https://www.vulncheck.com/advisories/laradashboard-before-1.4.5-incorrect-authorization-via-settingpolicy-core-upgrades third-party-advisory
https://github.com/laradashboard/laradashboard/security/advisories/GHSA-rjjq-v76w-8jh4 vendor-advisory

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۱۱
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۱۶
وضعیت: منتشرشده
صادرکننده (CNA): VulnCheck

پیش‌بینی بهره‌برداری (EPSS)

۰٫۴۸٪

احتمال بهره‌برداری در ۳۰ روز

۴۱٫۹٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: اثبات مفهوم
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-863
Incorrect Authorization