CVE-2026-120450
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 1.4.0 à 1.4.8 de LaraDashboard sont affectées par une faille d'autorisation. Ce logiciel fournit un tableau de bord de gestion pour les applications Laravel. Le problème survient car le système ne restreint pas correctement l'outil « send-email », permettant ainsi à des utilisateurs qui n'ont que la permission de consulter les modèles d'e-mails de pouvoir en réalité les déclencher.
Un attaquant disposant d'un compte avec des privilèges restreints peut envoyer des e-mails HTML arbitraires à n'importe quel destinataire en utilisant le service d'envoi officiel du serveur. Cela compromet l'intégrité des communications du système et peut être utilisé pour lancer des attaques de phishing convaincantes. L'exploitation est facile à exécuter via un réseau, mais nécessite que l'attaquant possède déjà des identifiants d'authentification valides.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
LaraDashboard 1.4.0 before 1.4.9 contains an improper authorization vulnerability that allows authenticated users with read-only email_template.view permission to send arbitrary emails via the MCP send-email tool. Attackers can mint an MCP token and call send-email with any recipient, subject, and raw HTML body to deliver phishing or spam from the site's mailer.