CVE-2026-57570
backpack/crud: HasMany/MorphMany relation fields allow cross-tenant record re-parenting (IDOR) via attachManyRelation
CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 6.8.15, 7.0.47
Обновить пакет backpack/crud до версий 6.8.16, 7.0.48 или новее.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
IDOR-уязвимость в backpack/crud, позволяющая манипулировать связанными записями других арендаторов. Дефект связан с некорректной валидацией внешних ключей связей HasMany и MorphMany.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Метод attachManyRelation в операциях создания и обновления CRUD принимает первичные ключи дочерних сущностей без проверки принадлежности текущему родителю и без применения developer-defined relation scope.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Нарушение изоляции данных (межклиентская утечка/IDOR): аутентифицированный непривилегированный администратор может перепривязывать, отсоединять, обнулять или удалять чужие дочерние записи.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Laravel-BackpackCRUD
>= 6.0.0➔Fix: 6.8.15
Laravel-BackpackCRUD
>= 7.0.0➔Fix: 7.0.47
——
>= 7.0.0➔Fix: 7.0.47
——
>= 6.0.0➔Fix: 6.8.15
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/Laravel-Backpack/CRUD/security/advisories/GHSA-42vx-43vc-x6pr
- github.comhttps://github.com/Laravel-Backpack/CRUD/pull/6021
- github.comhttps://github.com/Laravel-Backpack/CRUD/pull/6022
- github.comhttps://github.com/Laravel-Backpack/CRUD/commit/045ac00532aebbd2ddcad260ba86f980f000a800
- github.comhttps://github.com/Laravel-Backpack/CRUD/commit/24cfd2f61f3b162c7bfd572368bc1b05c5f1fa75
- github.comhttps://github.com/Laravel-Backpack/CRUD/releases/tag/6.8.15
- github.comhttps://github.com/Laravel-Backpack/CRUD/releases/tag/7.0.47
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-57570: backpack/crud: HasMany/MorphMany relation fields allow cross-tenant record re-parenting (IDOR) via attachManyRelation. URL: https://cve.futuretools.ru/cve/CVE-2026-57570
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_57570,
title = {{CVE-2026-57570: backpack/crud: HasMany/MorphMany relation fields allow cross-tenant record re-parenting (IDOR) via attachManyRelation}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-57570}},
note = {Оперативный инженерный анализ киберугроз}
}