CVE-2026-120488
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de LaraDashboard antérieures à 1.4.9 sont affectées par une faille de cross-site scripting (XSS) stockée. Ce logiciel fournit un tableau de bord administratif pour les applications Laravel, incluant un constructeur de pages appelé LaraBuilder. Le problème survient car le logiciel ne nettoie pas correctement les entrées dans le bloc `design_json`, permettant ainsi aux utilisateurs d'enregistrer des scripts malveillants à l'intérieur de blocs de texte, HTML ou de titres.
Un attaquant disposant de permissions de bas niveau pour créer ou modifier des articles peut utiliser cette faille pour exécuter des scripts dans le navigateur d'un Superadmin ou d'un administrateur. Cela pourrait mener au vol de cookies de session ou à la réalisation d'actions non autorisées au nom de l'administrateur, compromettant ainsi l'intégrité du tableau de bord. L'attaque nécessite un accès réseau et qu'un administrateur connecté consulte la page concernée, mais elle ne requiert pas de privilèges élevés pour être initiée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
LaraDashboard before 1.4.9 contains a stored cross-site scripting vulnerability that allows authenticated users with post.create or post.edit permission to inject scripts via unsanitized LaraBuilder design_json block content. Attackers can save text-editor, HTML, text or heading blocks containing script or event-handler markup that executes in administrator or Superadmin sessions viewing the builder, preview or page.