תיאור (מקור, אנגלית)
LaraDashboard before 1.4.8 contains an incorrect authorization vulnerability that allows authenticated users with only settings.view permission to read stored secrets through the settings API. Attackers can query GET /api/settings or /api/settings/{option_name} to retrieve plaintext AI provider API keys, mail credentials, passwords and tokens.
קישורים9
- github.com/laradashboard/laradashboard
- github.com/laradashboard/laradashboard/blob/v1.4.2/app/Http/Co…
- github.com/laradashboard/laradashboard/blob/v1.4.2/app/Http/Re…
- github.com/laradashboard/laradashboard/blob/v1.4.2/app/Policie…
- github.com/laradashboard/laradashboard/commit/532a10efd2cc1338…
- github.com/laradashboard/laradashboard/pull/340
- github.com/laradashboard/laradashboard/releases/tag/v1.4.8
- github.com/laradashboard/laradashboard/security/advisories/GHS…
- www.vulncheck.com/advisories/laradashboard-before-1.4.8-incorr…
מדדים
- CVSS 3.1
-
6.5
MEDIUM
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N - CVSS 4.0
-
7.1
HIGH
מקור הציון: CNA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X - EPSS — סבירות ניצול
- 0% אחוזון 24 · נכון ל-10 בנובמבר 2026
- CWE
- CWE-863
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.