CVE-2026-54182
backpack/crud: OS command injection in Stats::makeCurlRequest via attacker-controlled Host header (pre-auth)
CVSS 3.1High
8.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.1.70, 5.6.2, 6.8.13, 7.0.36, 4.1.72
Обновите пакет backpack/crud до версий 4.1.70, 5.6.2, 6.8.13, 7.0.36 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Pre-auth инъекция команд ОС в backpack/crud через заголовок Host.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Метод Backpack\CRUD\Stats::makeCurlRequest (вызывается из BackpackServiceProvider::boot) формирует шелл-команду на базе HTTP-заголовка Host и передает ее в exec() без экранирования shell-метасимволов. Вызов срабатывает со статистической вероятностью 1 к 100 при доступности curl и exec.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Удаленное выполнение команд операционной системы (RCE) неаутентифицированным атакующим.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Laravel-BackpackCRUD
все ранние➔Fix: 4.1.70
Laravel-BackpackCRUD
>= 5.0.0➔Fix: 5.6.2
Laravel-BackpackCRUD
>= 6.0.0➔Fix: 6.8.13
Laravel-BackpackCRUD
>= 7.0.0➔Fix: 7.0.36
——
>= 4.1.0➔Fix: 4.1.72
——
>= 5.0.0➔Fix: 5.6.2
——
>= 6.0.0➔Fix: 6.8.13
——
>= 7.0.0➔Fix: 7.0.36
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (10)
- github.comhttps://github.com/Laravel-Backpack/CRUD/security/advisories/GHSA-mrc5-3mm3-45c5
- github.comhttps://github.com/Laravel-Backpack/CRUD/pull/6012
- github.comhttps://github.com/Laravel-Backpack/CRUD/commit/0f2faafc22a15d77c14370f163d8f739f933c28c
- github.comhttps://github.com/Laravel-Backpack/CRUD/commit/1476a3769d94a410a2d2e9576deb522e84002f2a
- github.comhttps://github.com/Laravel-Backpack/CRUD/commit/282ba2a0b88749fb1888b3836678ba462d7023f0
- github.comhttps://github.com/Laravel-Backpack/CRUD/commit/471935e296b1be1a7216fdf10c8823e1f512f601
- github.comhttps://github.com/Laravel-Backpack/CRUD/releases/tag/4.1.72
- github.comhttps://github.com/Laravel-Backpack/CRUD/releases/tag/5.6.2
- github.comhttps://github.com/Laravel-Backpack/CRUD/releases/tag/6.8.13
- github.comhttps://github.com/Laravel-Backpack/CRUD/releases/tag/7.0.36
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-54182: backpack/crud: OS command injection in Stats::makeCurlRequest via attacker-controlled Host header (pre-auth). URL: https://cve.futuretools.ru/cve/CVE-2026-54182
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_54182,
title = {{CVE-2026-54182: backpack/crud: OS command injection in Stats::makeCurlRequest via attacker-controlled Host header (pre-auth)}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-54182}},
note = {Оперативный инженерный анализ киберугроз}
}