CVE-2024-55661

总结

Laravel Pulse 是一个用于 Laravel 应用程序的实时应用程序性能监控工具和仪表板。在 1.3.1 版本之前的 Laravel Pulse 中发现了一个漏洞，该漏洞可能通过 `Laravel\Pulse\Livewire\Concerns\RemembersQueries` trait 中的公共 `remember()` 方法导致远程代码执行。此方法可通过 Livewire 组件访问，并可被利用来调用应用程序中的任意可调用对象。具有 Laravel Pulse 仪表板访问权限的经过身份验证的用户可以通过调用任何函数或静态方法来执行任意代码，其中可调用对象是函数或静态方法，且该可调用对象没有参数或没有严格的参数类型。受影响的组件是 `Laravel\Pulse\Livewire\Concerns\RemembersQueries` 中的 `remember(callable $query, string $key = '')` 方法，并且该漏洞影响所有使用此 trait 的 Pulse 卡片组件。版本 1.3.1 包含补丁。

• Laravel Pulse 1.3.1 - Arbitrary Code Injection漏洞利用

  Mohammed Idrees Banyamer · php · 2025年6月9日