PT-2026-37175 · Laravel Nova · Nova-Toggle

Robertonegro · Publicado 2026-04-24 · Atualizado 2026-05-09 · CVE-2026-42202

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas nova-toggle-5 versões anteriores a 1.3.0

Descrição O endpoint de alternância "POST /nova-vendor/nova-toggle/toggle/{resource}/{resourceId}" era protegido apenas pelos middlewares web e auth:. Isso permitia que qualquer usuário autenticado no guard configurado alterasse atributos booleanos em qualquer recurso do Nova, incluindo usuários sem acesso ao Nova. Além disso, o endpoint aceitava um parâmetro attribute arbitrário, permitindo que os usuários alternassem qualquer coluna booleana no modelo subjacente, independentemente de ela estar exposta como um campo Toggle no recurso.

Recomendações Atualize para a versão 1.3.0. Como medida paliativa temporária, remova o pacote ou restrinja o acesso às rotas "/nova-vendor/nova-toggle/toggle/*" usando um middleware adicional que aplique o gate viewNova.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2026-42202

GHSA-F5C8-M5VW-RMGQ

Produtos afetados

Nova-Toggle

Referências · 8

• https://github.com/almirhodzic/nova-toggle-5 · Nota
• https://github.com/almirhodzic/nova-toggle-5/security/advisories/GHSA-f5c8-m5vw-rmgq · Nota
• https://github.com/almirhodzic/nova-toggle-5/releases/tag/v1.3.0 · Nota
• https://github.com/almirhodzic/nova-toggle-5/blob/main/CHANGELOG.md · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42202 · Nota de Segurança
• https://twitter.com/CVEnew/status/2053131439529746552 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2052991070481354766 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-f5c8-m5vw-rmgq · Aviso do Fabricante