CVE-2024-55661

Резюме

Laravel Pulse — это инструмент мониторинга производительности приложений в реальном времени и панель мониторинга для приложений Laravel. В версиях Laravel Pulse до 1.3.1 обнаружена уязвимость, которая может позволить удалённое выполнение кода через публичный метод `remember()` в трейте `Laravel\Pulse\Livewire\Concerns\RemembersQueries`. Этот метод доступен через компоненты Livewire и может быть использован для вызова произвольных callable-вызовов в приложении. Аутентифицированный пользователь с доступом к панели мониторинга Laravel Pulse может выполнить произвольный код, вызвав любую функцию или статический метод, если callable является функцией или статическим методом и не имеет параметров или строгих типов параметров. Уязвимым компонентом является метод `remember(callable $query, string $key = '')` в `Laravel\Pulse\Livewire\Concerns\RemembersQueries`, и уязвимость затрагивает все карточные компоненты Pulse, использующие этот трейт. Версия 1.3.1 содержит исправление.

• Laravel Pulse 1.3.1 - Arbitrary Code InjectionЭксплойт

  Mohammed Idrees Banyamer · php · 9 июн. 2025 г.