- Yama var
- Son 7 gün
- CWE-863
CVE-2026-120450
LaraDashboard 1.4.0 before 1.4.9 Improper Authorization via MCP send-email Tool
Orta
4,3
CVSS 3.1
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
LaraDashboard 1.4.0 before 1.4.9 contains an improper authorization vulnerability that allows authenticated users with read-only email_template.view permission to send arbitrary emails via the MCP send-email tool. Attackers can mint an MCP token and call send-email with any recipient, subject, and raw HTML body to deliver phishing or spam from the site's mailer.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| LaraDashboard | ≥ 1.4.0, < 1.4.9 | 1.4.9 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…hboard/security/advisories/GHSA-gjfv-h634-pxpv Üretici bülteni
- github.com/…ommit/5955d725683b1e63af8c38a149211d6151465aed Yama
- vulncheck.com/…improper-authorization-via-mcp-send-email-tool Üçüncü taraf
- github.com/laradashboard/laradashboard/releases/tag/v1.4.9 Diğer
- github.com/…rd/blob/v1.4.8/app/Mcp/Tools/SendEmailTool.php Diğer
Kayıt geçmişi
- Yayımlandı