CVE-2024-55661

ملخص

Laravel Pulse هي أداة مراقبة أداء التطبيقات في الوقت الفعلي ولوحة تحكم لتطبيقات Laravel. تم اكتشاف ثغرة أمنية في Laravel Pulse قبل الإصدار 1.3.1 قد تسمح بتنفيذ التعليمات البرمجية عن بُعد من خلال الطريقة العامة `remember()` الموجودة في السمة `Laravel\Pulse\Livewire\Concerns\RemembersQueries`. هذه الطريقة قابلة للوصول عبر مكونات Livewire ويمكن استغلالها لاستدعاء أي دوال قابلة للاستدعاء داخل التطبيق. يمكن للمستخدم المُصادق الذي لديه حق الوصول إلى لوحة تحكم Laravel Pulse تنفيذ تعليمات برمجية عشوائية عن طريق استدعاء أي دالة أو طريقة ثابتة حيث يكون المستدعى دالة أو طريقة ثابتة ولا يحتوي على معاملات أو لا يحتوي على أنواع معاملات صارمة. المكوّن المعرّض للخطر هو طريقة `remember(callable $query, string $key = '')` في `Laravel\Pulse\Livewire\Concerns\RemembersQueries`، وتؤثر الثغرة على جميع مكونات بطاقات Pulse التي تستخدم هذه السمة. يحتوي الإصدار 1.3.1 على تصحيح.

• Laravel Pulse 1.3.1 - Arbitrary Code Injectionاستغلال

  Mohammed Idrees Banyamer · php · 09‏/06‏/2025