検索NeSC を見る
脆弱性・CVE速報深刻度: 高

LaraDashboard 1.4.5 より前 CVE-2026-120487（CVSS v3.1 7.2）: settings.edit 権限だけの管理者がコア更新機能でデータベースのダンプを取得可能

World Security 編集部
目次（7）

CVE-2026-120487

PHP フレームワーク Laravel 製の管理画面基盤 LaraDashboard の 1.4.5 より前に、認可の誤りの脆弱性 CVE-2026-120487 が見つかりました。NVD は 2026-11-02 に登録しました。SettingPolicy::manageCoreUpgrades() の判定が不十分で、本来は最上位の管理者（Superadmin）だけに許される「コア更新」の操作を、settings.edit 権限を持つ一般の管理者も実行できます。/admin/settings/core-upgrades のバックアップ、ダウンロード、復元、アップグレードの各操作を使うと、パスワードのハッシュを含むデータベースのダンプを入手でき、サイトの復元や更新も行えるとされています。NVD の状態は Deferred（分析待ち）で、評価は VulnCheck が付与した CVSS v3.1 の 7.2（HIGH）です。

概要

項目内容
CVECVE-2026-120487
製品LaraDashboard（Laravel 製の管理画面基盤）
対象1.4.5 より前
問題不適切な認可（CWE-863）。SettingPolicy::manageCoreUpgrades() が settings.edit だけで通してしまう
攻撃条件ネットワーク経由（AV:N）、高い権限が必要（PR:H）、ユーザー操作不要
結果データベースのダンプ（パスワードのハッシュを含む）の取得、サイトの復元・アップグレードの実行
  • 攻撃には、すでに settings.edit を持つ管理者のアカウントが必要です。認証なしで悪用できるものではありません。
  • 一方で、Superadmin 専用とされていた操作に権限の低い管理者が届くため、権限の分離が崩れます。ダンプにはほかの管理者を含む全ユーザーのハッシュが入ります。

CVSS

評価元種別版スコアベクター
VulnCheck主（Primary）v3.17.2（HIGH）AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
VulnCheck副（Secondary）v4.08.6（HIGH）AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H

PR:H のため critical の条件（認証不要かつ 9 以上）には当たらず、本サイトでは high としています。

影響範囲

  • LaraDashboard 1.4.5 より前を使う環境が対象です。
  • settings.edit を一般の管理者や運用担当者に付与している環境で、リスクが高まります。
  • 取得したハッシュを解析されると、Superadmin を含むほかのアカウントのパスワードが破られる恐れがあります。

修正

NVD の参照に、1.4.5 のリリースと修正のコミットが挙がっています。1.4.5 以降へ更新してください。修正の具体的な内容は未確認です。

利用者がとれる対策

  • 1.4.5 以降へ更新する。
  • 更新までは、settings.edit を付与するアカウントを必要最小限にし、権限の棚卸しを行う。
  • /admin/settings/core-upgrades へのアクセスを、リバースプロキシーなどで Superadmin の利用元に限る。
  • アクセスログで、このパスへのバックアップやダウンロード操作が一般の管理者から行われていないかを確認する。
  • 疑わしい操作があった場合は、全ユーザーのパスワード変更を促し、セッションと API の鍵を見直す。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Deferred
CVSSv3.1 7.2（HIGH）、v4.0 8.6（HIGH）。いずれも VulnCheck
EPSS未算定（FIRST、2026-11-03 時点）
KEV掲載なし（CISA のカタログを確認）
出典NVD、VulnCheck の勧告、プロジェクトの勧告とリリース、FIRST、CISA

未確認の点

  • 悪用の有無（KEV 掲載なし、EPSS は未算定。実際の攻撃は確認できていません）。
  • プロジェクト側の勧告本文の内容（今回の確認では取得できていません）。
  • 1.4.5 の修正の具体的な範囲と、ほかの経路が残っていないか。
  • 回避策が有効に働くかどうか（上記のアクセス制限は一般的な緩和策で、製品側の検証は未確認）。
  • NVD による独自の分析（Deferred のため）。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事