https://alertas.dupin.com.ar/fabricante/laradashboard/Alertas de vulnerabilidades de laradashboard.esMon, 02 Nov 2026 15:50:37 +000010https://alertas.dupin.com.ar/cve/CVE-2026-120487/tg:62774Mon, 02 Nov 2026 15:50:37 +0000VulnerabilidadLaraDashboard anterior a 1.4.5 contiene una vulnerabilidad de autorización incorrecta en SettingPolicy::manageCoreUpgrades() que permite a administradores que no son Superadmin con settings.edit acceder a operaciones de actualización de núcleo exclusivas de Superadmin. Un atacante puede usar las acciones de backup, download, restore y upgrade de /admin/settings/core-upgrades para obtener volcados de base de datos con hashes de contraseñas y restaurar o actualizar el sitio.https://alertas.dupin.com.ar/cve/CVE-2026-120488/tg:62772Mon, 02 Nov 2026 15:50:35 +0000VulnerabilidadLaraDashboard anterior a 1.4.9 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado que permite a usuarios autenticados con permiso post.create o post.edit inyectar scripts mediante contenido de bloques design_json de LaraBuilder sin sanitizar. Un atacante puede guardar bloques de editor de texto, HTML, texto o encabezado con marcado de script o manejadores de eventos que se ejecuta en sesiones de administrador o Superadmin que visualizan el builder, la vista previa o la página.https://alertas.dupin.com.ar/cve/CVE-2026-90932/tg:61457Tue, 27 Oct 2026 07:46:13 +0000Exploit públicoLaraDashboard 0.9.2 a 1.2.2 concatena el valor backup_file/filename provisto por el usuario a la ruta del directorio de backups sin normalizar ni aplicar basename(), sin verificar que la ruta resuelta quede dentro de storage/app/core-backups. Un usuario autenticado con solo el permiso settings.edit puede usar secuencias ../ para borrar archivos arbitrarios del host o restaurar un ZIP desde una ubicación arbitraria, escribiendo archivos en los directorios de la aplicación y logrando ejecución remota de código.https://alertas.dupin.com.ar/cve/CVE-2026-90931/tg:61456Tue, 27 Oct 2026 07:46:10 +0000Exploit públicoLaraDashboard 0.9.0 a 1.2.2 no sanitiza el contenido de archivos SVG durante la carga de medios, lo que permite a usuarios autenticados con solo el permiso media.create subir SVG maliciosos con etiquetas script. Cuando cualquier usuario, incluidos administradores, abre el SVG almacenado servido en línea desde el origen de la aplicación, el JavaScript se ejecuta en el contexto del panel, habilitando el secuestro de sesión y la toma de control de cuentas administrativas.