یک آسیب‌پذیری امنیتی با شناسه CVE-2026-105129 در نسخه‌های پیش از 1.4.8 پنل LaraDashboard شناسایی شده است. این نقص امنیتی مربوط به کنترل دسترسی نادرست (Incorrect Authorization) است و به کاربران احراز هویت شده اجازه می‌دهد تا به اطلاعات حساس دسترسی پیدا کنند.
جزئیات فنی آسیب‌پذیری
کاربرانی که تنها دارای مجوز settings.view هستند، می‌توانند از طریق API تنظیمات، داده‌های ذخیره‌شده در بخش Secrets را مشاهده کنند. مهاجمان با ارسال درخواست‌های GET به مسیرهای زیر می‌توانند اطلاعات حساس را استخراج نمایند:
/api/settings/api/settings/{option_name}
پیامدهای امنیتی
این نقص امنیتی منجر به افشای اطلاعات در قالب متن ساده (Plaintext) می‌شود، از جمله:
- کلیدهای API ارائه‌دهندگان هوش مصنوعی (AI Provider API Keys)
- اطلاعات مربوط به پیکربندی ایمیل (Mail Credentials)
- رمزهای عبور و توکن‌های دسترسی (Passwords and Tokens)
با توجه به ماهیت این داده‌ها، دسترسی به آن‌ها می‌تواند منجر به نفوذ گسترده‌تر در زیرساخت‌های متصل به این پنل شود.
