¿Qué es la vulnerabilidad CVE-2026-120487 en LaraDashboard?

El fallo de seguridad identificado como CVE-2026-120487 corresponde a una vulnerabilidad de autorización incorrecta en LaraDashboard para versiones anteriores a la 1.4.5. El problema se origina en el método SettingPolicy::manageCoreUpgrades() del sistema.

Esta debilidad permite que administradores que no poseen el rol de Superadmin, pero que cuentan con permisos de settings.edit, accedan a funciones de actualización del núcleo reservadas exclusivamente para perfiles de máxima autoridad. En ocasiones, incidencias de control de acceso recuerdan a problemas de escalada de privilegios local, aunque este vector opera a nivel web.

¿A quién afecta y qué riesgos conlleva?

El problema afecta a cualquier entorno que ejecute versiones de LaraDashboard anteriores a la 1.4.5. Cuenta con una puntuación base CVSS de 7.2 y un vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H, lo que denota un riesgo alto.

Los atacantes con acceso administrativo limitado pueden utilizar las acciones de copia de seguridad, descarga, restauración y actualización ubicadas en /admin/settings/core-upgrades para obtener volcados de bases de datos con hashes de contraseñas y alterar o actualizar el sitio web.

¿Cómo me protejo?

Para blindar la plataforma frente a este fallo de control de acceso, es indispensable aplicar las medidas de remediación proporcionadas por los mantenedores del proyecto. Una revisión preventiva de permisos también ayuda a reducir la superficie de ataque.

Sigue estos pasos detallados para mitigar la vulnerabilidad en tu entorno de producción:

  1. Audita los roles de usuario actuales y revoca temporalmente los permisos settings.edit a cuentas que no requieran dicha gestión.
  2. Actualiza el paquete de la aplicación ejecutando el gestor de dependencias de PHP para incorporar el parche.
  3. Instala la versión 1.4.5 o posterior de LaraDashboard donde se ha corregido el comportamiento de SettingPolicy::manageCoreUpgrades().
  4. Comprueba que los puntos de enlace de actualización y respaldo devuevan un código de acceso denegado para administradores sin rango de Superadmin.