Lara Dashboard до версии 1.3.2 не может авторизовать доступ к конечным точкам загрузки изображений и видео после сборки, что позволяет аутентифицированным учетным записям без разрешений на контент загружать файлы. Злоумышленники могут загружать многоязычные файлы с выбранными злоумышленником расширениями в общедоступный корень сети и выполнять код, если развертывание допускает выполнение загруженного типа файла.
Показать оригинальное описание (EN)
Lara Dashboard before 1.3.2 fails to authorize access to the post-builder image and video upload endpoints, allowing authenticated accounts without content permissions to upload files. Attackers can upload polyglot files with attacker-chosen extensions to the public web root and execute code if the deployment permits execution of the uploaded file type.
Характеристики атаки
Последствия
Строка CVSS v4.0