CVE-2024-55661

概要

Laravel Pulse は、Laravel アプリケーション向けのリアルタイムアプリケーションパフォーマンス監視ツールおよびダッシュボードです。バージョン 1.3.1 より前の Laravel Pulse に脆弱性が発見されました。この脆弱性は、`Laravel\Pulse\Livewire\Concerns\RemembersQueries` トレイトの public `remember()` メソッドを通じてリモートコード実行を可能にする可能性があります。このメソッドは Livewire コンポーネントを介してアクセス可能であり、アプリケーション内の任意のコーラブルを呼び出すために悪用される可能性があります。Laravel Pulse ダッシュボードにアクセスできる認証済みユーザーは、コーラブルが関数または静的メソッドであり、かつコーラブルにパラメータがないか厳密なパラメータ型がない任意の関数または静的メソッドを呼び出すことで、任意のコードを実行できます。脆弱なコンポーネントは `Laravel\Pulse\Livewire\Concerns\RemembersQueries` の `remember(callable $query, string $key = '')` メソッドであり、この脆弱性はこのトレイトを使用するすべての Pulse カードコンポーネントに影響します。バージョン 1.3.1 にはパッチが含まれています。

• Laravel Pulse 1.3.1 - Arbitrary Code Injectionエクスプロイト

  Mohammed Idrees Banyamer · php · 2025/06/09