CVE-2024-55661

Resumo

Laravel Pulse é uma ferramenta de monitoramento de desempenho de aplicações em tempo real e um painel para aplicações Laravel. Uma vulnerabilidade foi descoberta no Laravel Pulse anterior à versão 1.3.1 que poderia permitir execução remota de código através do método público `remember()` no trait `Laravel\Pulse\Livewire\Concerns\RemembersQueries`. Este método é acessível por meio de componentes Livewire e pode ser explorado para chamar callables arbitrários dentro da aplicação. Um usuário autenticado com acesso ao painel Laravel Pulse pode executar código arbitrário chamando qualquer função ou método estático em que o callable seja uma função ou método estático e o callable não tenha parâmetros ou não tenha tipos de parâmetros estritos. O componente vulnerável é o método `remember(callable $query, string $key = '')` em `Laravel\Pulse\Livewire\Concerns\RemembersQueries`, e a vulnerabilidade afeta todos os componentes de cartão do Pulse que usam esse trait. A versão 1.3.1 contém uma correção.

• Laravel Pulse 1.3.1 - Arbitrary Code InjectionExploit

  Mohammed Idrees Banyamer · php · 9 de jun. de 2025