CVE-2024-55661

सारांश

Laravel Pulse Laravel अनुप्रयोगों के लिए एक वास्तविक समय अनुप्रयोग प्रदर्शन निगरानी उपकरण और डैशबोर्ड है। संस्करण 1.3.1 से पहले के Laravel Pulse में एक भेद्यता खोजी गई है जो `Laravel\Pulse\Livewire\Concerns\RemembersQueries` ट्रेट में सार्वजनिक `remember()` विधि के माध्यम से दूरस्थ कोड निष्पादन की अनुमति दे सकती है। यह विधि Livewire घटकों के माध्यम से सुलभ है और इसका दुरुपयोग करके एप्लिकेशन के भीतर मनमाने कॉलेबल्स को कॉल किया जा सकता है। Laravel Pulse डैशबोर्ड तक पहुंच रखने वाला एक प्रमाणित उपयोगकर्ता किसी भी फ़ंक्शन या स्टैटिक विधि को कॉल करके मनमाना कोड निष्पादित कर सकता है, बशर्ते कॉलेबल एक फ़ंक्शन या स्टैटिक विधि हो और कॉलेबल में कोई पैरामीटर न हो या कोई सख्त पैरामीटर प्रकार न हो। संवेदनशील घटक `Laravel\Pulse\Livewire\Concerns\RemembersQueries` में `remember(callable $query, string $key = '')` विधि है, और यह भेद्यता उन सभी Pulse कार्ड घटकों को प्रभावित करती है जो इस ट्रेट का उपयोग करते हैं। संस्करण 1.3.1 में पैच शामिल है।

• Laravel Pulse 1.3.1 - Arbitrary Code Injectionएक्सप्लॉइट

  Mohammed Idrees Banyamer · php · 9 जून 2025