Backpack for Laravel Backpack 任意文件上传漏洞

基本信息

漏洞ID：
漏洞类型：其他
发布日期：2026-09-14 00:00:00
更新时间：2026-09-15 00:00:00
CVE编号：CVE-2026-54177
CNNVD-ID：CNNVD-2026-85849761
漏洞平台：
CVSS评分：

漏洞来源

暂无

漏洞详情

Backpack for Laravel Backpack是Backpack for Laravel团队的一个帮助开发者快速构建后台管理界面的开发工具包。 Backpack for Laravel Backpack 6.0.0版本至6.8.14之前版本和7.0.0版本至7.0.38之前版本存在任意文件上传漏洞，该漏洞源于通过CrudTrait使用的HasUploadFields的uploadFileToDisk和uploadMultipleFilesToDisk方法以及通过FileNameGenerator的withFiles()路径未拒绝服务器可执行文件类型，经过身份验证的管理员可利用未进行mimes和mimetypes验证的上传字段实现远程代码执行。

参考资料

链接:https://github.com/Laravel-Backpack/CRUD/commit/5c5de0af242619d0653c7c70c900cd15b1a197c5 链接:https://github.com/Laravel-Backpack/CRUD/commit/76c3a6e50e3fbd6d5f633208da5b04acb8322969 链接:https://github.com/Laravel-Backpack/CRUD/pull/5993 链接:https://github.com/Laravel-Backpack/CRUD/pull/5994 链接:https://github.com/Laravel-Backpack/CRUD/releases/tag/6.8.14 链接:https://github.com/Laravel-Backpack/CRUD/releases/tag/7.0.38 链接:https://github.com/Laravel-Backpack/CRUD/security/advisories/GHSA-8q2w-pv9p-mjvc