--- title: "LaraDashboard 1.4.5 より前 CVE-2026-120487（CVSS v3.1 7.2）: settings.edit 権限だけの管理者がコア更新機能でデータベースのダンプを取得可能" url: https://n-t-p.io/worldsecurity/articles/laradashboard-before-1-4-5-settingpolicy-core-upgrades-authorization-bypass-cve-2026-120487 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-120487 --- # LaraDashboard 1.4.5 より前 CVE-2026-120487（CVSS v3.1 7.2）: settings.edit 権限だけの管理者がコア更新機能でデータベースのダンプを取得可能 > **TL;DR:** LaraDashboard 1.4.5 より前の認可の誤り（CVE-2026-120487）。settings.edit を持つ管理者が Superadmin 専用のコア更新機能で、パスワードのハッシュを含むデータベースのダンプを取得できる。VulnCheck の CVSS v3.1 は 7.2（PR:H）。KEV なし、EPSS は未算定。 **要点** - LaraDashboard 1.4.5 より前が対象。SettingPolicy::manageCoreUpgrades() の認可の誤り（CWE-863） - settings.edit 権限の管理者が /admin/settings/core-upgrades のバックアップ・ダウンロード・復元・アップグレードを実行でき、ハッシュ入りのダンプを取得できる - CVSS v3.1 は 7.2（AV:N/PR:H）で high。NVD は Deferred。1.4.5 以降へ更新 - 悪用の有無、勧告本文、ほかの経路の有無は未確認。KEV なし、EPSS は未算定 PHP フレームワーク Laravel 製の管理画面基盤 LaraDashboard の 1.4.5 より前に、認可の誤りの脆弱性 CVE-2026-120487 が見つかりました。NVD は 2026-11-02 に登録しました。SettingPolicy::manageCoreUpgrades() の判定が不十分で、本来は最上位の管理者（Superadmin）だけに許される「コア更新」の操作を、settings.edit 権限を持つ一般の管理者も実行できます。/admin/settings/core-upgrades のバックアップ、ダウンロード、復元、アップグレードの各操作を使うと、パスワードのハッシュを含むデータベースのダンプを入手でき、サイトの復元や更新も行えるとされています。NVD の状態は Deferred（分析待ち）で、評価は VulnCheck が付与した CVSS v3.1 の 7.2（HIGH）です。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-120487 | | 製品 | LaraDashboard（Laravel 製の管理画面基盤） | | 対象 | 1.4.5 より前 | | 問題 | 不適切な認可（CWE-863）。SettingPolicy::manageCoreUpgrades() が settings.edit だけで通してしまう | | 攻撃条件 | ネットワーク経由（AV:N）、高い権限が必要（PR:H）、ユーザー操作不要 | | 結果 | データベースのダンプ（パスワードのハッシュを含む）の取得、サイトの復元・アップグレードの実行 | - 攻撃には、すでに settings.edit を持つ管理者のアカウントが必要です。認証なしで悪用できるものではありません。 - 一方で、Superadmin 専用とされていた操作に権限の低い管理者が届くため、権限の分離が崩れます。ダンプにはほかの管理者を含む全ユーザーのハッシュが入ります。 ## CVSS | 評価元 | 種別 | 版 | スコア | ベクター | |---|---|---|---|---| | VulnCheck | 主（Primary） | v3.1 | 7.2（HIGH） | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H | | VulnCheck | 副（Secondary） | v4.0 | 8.6（HIGH） | AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H | PR:H のため critical の条件（認証不要かつ 9 以上）には当たらず、本サイトでは high としています。 ## 影響範囲 - LaraDashboard 1.4.5 より前を使う環境が対象です。 - settings.edit を一般の管理者や運用担当者に付与している環境で、リスクが高まります。 - 取得したハッシュを解析されると、Superadmin を含むほかのアカウントのパスワードが破られる恐れがあります。 ## 修正 NVD の参照に、1.4.5 のリリースと修正のコミットが挙がっています。1.4.5 以降へ更新してください。修正の具体的な内容は未確認です。 ## 利用者がとれる対策 - 1.4.5 以降へ更新する。 - 更新までは、settings.edit を付与するアカウントを必要最小限にし、権限の棚卸しを行う。 - /admin/settings/core-upgrades へのアクセスを、リバースプロキシーなどで Superadmin の利用元に限る。 - アクセスログで、このパスへのバックアップやダウンロード操作が一般の管理者から行われていないかを確認する。 - 疑わしい操作があった場合は、全ユーザーのパスワード変更を促し、セッションと API の鍵を見直す。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Deferred | | CVSS | v3.1 7.2（HIGH）、v4.0 8.6（HIGH）。いずれも VulnCheck | | EPSS | 未算定（FIRST、2026-11-03 時点） | | KEV | 掲載なし（CISA のカタログを確認） | | 出典 | NVD、VulnCheck の勧告、プロジェクトの勧告とリリース、FIRST、CISA | ## 未確認の点 - 悪用の有無（KEV 掲載なし、EPSS は未算定。実際の攻撃は確認できていません）。 - プロジェクト側の勧告本文の内容（今回の確認では取得できていません）。 - 1.4.5 の修正の具体的な範囲と、ほかの経路が残っていないか。 - 回避策が有効に働くかどうか（上記のアクセス制限は一般的な緩和策で、製品側の検証は未確認）。 - NVD による独自の分析（Deferred のため）。 ## 出典 - [NVD CVE-2026-120487](https://nvd.nist.gov/vuln/detail/CVE-2026-120487) — NIST NVD - [VulnCheck Advisory: LaraDashboard before 1.4.5 incorrect authorization via SettingPolicy core upgrades](https://www.vulncheck.com/advisories/laradashboard-before-1.4.5-incorrect-authorization-via-settingpolicy-core-upgrades) — VulnCheck - [LaraDashboard v1.4.5 リリース](https://github.com/laradashboard/laradashboard/releases/tag/v1.4.5) — LaraDashboard - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120487) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/laradashboard-before-1-4-5-settingpolicy-core-upgrades-authorization-bypass-cve-2026-120487