- Yama var
- Son 7 gün
- CWE-863
CVE-2026-120487
LaraDashboard'da Yetkisiz Çekirdek Yükseltme ve Yedek İşlemleri Erişimi
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Yönetim panelinde yetkisi olan ama en üst düzey yönetici olmayan kullanıcılar, sitenin kritik bakım işlemlerini ve kullanıcı parolalarını içeren veritabanı yedeklerini ele geçirebilir. Bu, veri sızıntısı ve site bütünlüğü açısından yüksek iş riski taşır. Yazılım güncellemesinin hemen uygulanması önerilir.
ÖzetTürkçe
LaraDashboard'un 1.4.5 öncesi sürümlerinde SettingPolicy::manageCoreUpgrades yetki denetimi hatalıdır. Bu durum, settings.edit yetkisine sahip Superadmin olmayan yöneticilerin yalnızca Superadmin'e ait çekirdek yükseltme işlemlerine erişmesine izin verir. Etkilenen, sürümü 1.4.5'ten eski olan LaraDashboard kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, yedekleme ve indirme işlemleriyle parola özetlerini içeren veritabanı dökümlerine ulaşabilir; ayrıca siteyi geri yükleyebilir veya yükseltebilir.
Kaynaktaki açıklama (İngilizce)
LaraDashboard before 1.4.5 contains an incorrect authorization vulnerability in SettingPolicy::manageCoreUpgrades() that allows non-Superadmin administrators with settings.edit to access Superadmin-only core-upgrade operations. Attackers can use the /admin/settings/core-upgrades backup, download, restore and upgrade actions to obtain database dumps containing password hashes and restore or upgrade the site.
Ne yapmalı?
- LaraDashboard'u 1.4.5 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltmeden önce, settings.edit yetkisine sahip yöneticileri gözden geçirin ve gereksiz yetkileri kaldırın. Genel öneri
- Olası kötüye kullanıma karşı, /admin/settings/core-upgrades altındaki yedekleme, indirme, geri yükleme ve yükseltme işlemlerinin kayıtlarını inceleyin. Genel öneri
- Yetkisiz bir indirme veya geri yükleme fark edilirse parolaları değiştirin ve veritabanı yedeklerini güvenli şekilde değerlendirin. Genel öneri
Ek önlemler
- Yönetici yetkilerini en az ayrıcalık ilkesine göre düzenleyin ve yalnızca gerekli kişilere ver. Genel öneri
- Yönetim paneli erişimini IP kısıtlaması veya ek kimlik doğrulama ile sınırlandırın. Genel öneri
- Yönetim paneli işlemlerinin kayıtlarını düzenli olarak izleyin ve sıra dışı yedekleme veya indirme isteklerine uyarı kurun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| LaraDashboard | < 1.4.5 | 1.4.5 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…hboard/security/advisories/GHSA-rjjq-v76w-8jh4 Üretici bülteni
- github.com/…ommit/fdb77b898e6bb0a0df82bbf979c2bfba38a81532 Yama
- vulncheck.com/…-authorization-via-settingpolicy-core-upgrades Üçüncü taraf
- github.com/laradashboard/laradashboard/releases/tag/v1.4.5 Diğer
- github.com/…ard/blob/v1.4.2/app/Policies/SettingPolicy.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.