CVE-2026-120487

Les versions de LaraDashboard antérieures à la 1.4.5 sont affectées par une faille dans la manière dont le logiciel gère les permissions pour les mises à jour du cœur. Cet outil est généralement utilisé comme panneau d'administration pour les applications Laravel. En raison d'une vérification d'autorisation incorrecte, tout administrateur disposant de permissions de base pour la modification des paramètres peut contourner des restrictions normalement réservées aux Superadmins.

Un attaquant disposant d'un compte administrateur standard peut déclencher à distance des actions de sauvegarde, de téléchargement et de restauration. Cela lui permet de voler des copies de la base de données contenant des hachages de mots de passe sensibles ou de modifier les fichiers cœurs du site, compromettant ainsi la confidentialité, l'intégrité et la disponibilité du système. Aucune interaction particulière de l'utilisateur n'est requise, si ce n'est la possession d'identifiants de haut niveau (mais non Superadmin).