CVE-2024-55661

Résumé

Laravel Pulse est un outil de surveillance des performances d'application en temps réel et un tableau de bord pour les applications Laravel. Une vulnérabilité a été découverte dans Laravel Pulse antérieur à la version 1.3.1, permettant une exécution de code à distance via la méthode publique `remember()` du trait `Laravel\Pulse\Livewire\Concerns\RemembersQueries`. Cette méthode est accessible via les composants Livewire et peut être exploitée pour appeler des callables arbitraires au sein de l'application. Un utilisateur authentifié ayant accès au tableau de bord Laravel Pulse peut exécuter du code arbitraire en appelant toute fonction ou méthode statique pour laquelle le callable est une fonction ou une méthode statique et ne possède aucun paramètre ou aucun type de paramètre strict. Le composant vulnérable est la méthode `remember(callable $query, string $key = '')` dans `Laravel\Pulse\Livewire\Concerns\RemembersQueries`, et la vulnérabilité affecte tous les composants de carte Pulse qui utilisent ce trait. La version 1.3.1 contient un correctif.

• Laravel Pulse 1.3.1 - Arbitrary Code InjectionExploit

  Mohammed Idrees Banyamer · php · 9 juin 2025