PT-2024-10192 · Laravel · Laravel Pulse
Angelej
·
Publicado
2024-10-12
·
Atualizado
2025-08-27
·
CVE-2024-55661
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Laravel Pulse anteriores à 1.3.1
Descrição
Foi descoberta uma vulnerabilidade no Laravel Pulse que poderia permitir a execução remota de código por meio do método público
remember() na característica LaravelPulseLivewireConcernsRemembersQueries. Esse método é acessível por meio de componentes Livewire e pode ser explorado para chamar callables arbitrários dentro do aplicativo. Um usuário autenticado com acesso ao painel do Laravel Pulse pode executar código arbitrário chamando qualquer função ou método estático que atenda aos seguintes critérios: o callable é uma função ou método estático e não possui parâmetros ou tipos de parâmetros restritos. O componente vulnerável é o método remember(callable $query, string $key = ‘’) em LaravelPulseLivewireConcernsRemembersQueries, e a vulnerabilidade afeta todos os componentes de cartão do Pulse que utilizam essa característica.Recomendações
Para versões anteriores à 1.3.1, atualize para a versão 1.3.1 ou posterior para resolver o problema. Como solução temporária, considere desativar a função
remember() na característica LaravelPulseLivewireConcernsRemembersQueries até que um patch esteja disponível. Restrinja o acesso à característica vulnerável LaravelPulseLivewireConcernsRemembersQueries para minimizar o risco de exploração. Evite usar o método remember() em componentes Livewire até que o problema seja resolvido.Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Laravel Pulse