Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Laravel Pulse (CVE-2024-55661)

Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-94 Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
13/12/2024
Última modificación:
13/12/2024

Descripción

Laravel Pulse es una herramienta de monitoreo de rendimiento de aplicaciones en tiempo real y un panel de control para aplicaciones Laravel. Se ha descubierto una vulnerabilidad en Laravel Pulse anterior a la versión 1.3.1 que podría permitir la ejecución remota de código a través del método público `remember()` en el rasgo `Laravel\Pulse\Livewire\Concerns\RemembersQueries`. Este método es accesible a través de los componentes Livewire y se puede explotar para llamar a elementos invocables arbitrarios dentro de la aplicación. Un usuario autenticado con acceso al panel de control de Laravel Pulse puede ejecutar código arbitrario llamando a cualquier función o método estático en el que el invocable sea una función o un método estático y el invocable no tenga parámetros o ningún tipo de parámetro estricto. El componente vulnerable es el método `remember(callable $query, string $key = '')` en `Laravel\Pulse\Livewire\Concerns\RemembersQueries`, y la vulnerabilidad afecta a todos los componentes de la tarjeta Pulse que usan este rasgo. La versión 1.3.1 contiene un parche.