LaraDashboard 1.4.9 แก้ CVE ส่งอีเมลเกินสิทธิ์และ Stored XSS
LaraDashboard 1.4.9 แก้ CVE-2026-120450 และ CVE-2026-120488 ที่กระทบ MCP SendEmailTool กับ LaraBuilder อ่านผลกระทบและวิธีรับมือ
LaraDashboard 1.4.9 แก้ช่องส่งอีเมลเกินสิทธิ์และ Stored XSS ใน LaraBuilder
LaraDashboard ซึ่งเป็นโครงการโอเพนซอร์สสำหรับแดชบอร์ด Laravel เผยแพร่เวอร์ชัน 1.4.9 พร้อมการแก้ไขด้านความปลอดภัยที่เกี่ยวข้องกับ CVE-2026-120450 และ CVE-2026-120488 รายการแรกเกี่ยวกับสิทธิ์ของเครื่องมือส่งอีเมลผ่าน MCP ส่วนรายการที่สองเกี่ยวกับการเก็บเนื้อหา HTML อันตรายใน LaraBuilder แล้วนำไปแสดงโดยไม่มีการกรองอย่างเหมาะสม องค์กรที่ให้ผู้ใช้หลายระดับสิทธิ์สร้างเนื้อหา หรือให้ MCP token เข้าถึงเครื่องมืออีเมล ควรตรวจการติดตั้งของตนเป็นพิเศษ
วันเปิดเผย วันเผยแพร่ CVE และแพตช์
คำแนะนำของโครงการบน GitHub สำหรับ CVE-2026-120450 เผยแพร่ครั้งแรกวันที่ 1 พฤศจิกายน 2026 เวลา 19:02:26 UTC และสำหรับ CVE-2026-120488 เวลา 19:02:02 UTC วันดังกล่าวเป็นวันเปิดเผยปัญหาต่อสาธารณะที่ตรวจได้จากต้นทาง โครงการเผยแพร่รุ่นแก้ไข v1.4.9 วันที่ 1 พฤศจิกายน 2026 เวลา 18:58:14 UTC ส่วนระเบียน CVE แรกเผยแพร่วันที่ 2 พฤศจิกายน 2026 เวลา 14:29:08 UTC และ 14:29:18 UTC ตามลำดับ การออกแพตช์ก่อนคำแนะนำเพียงไม่กี่นาทีไม่เปลี่ยนข้อเท็จจริงว่าทั้งการเปิดเผยและ CVE อยู่ในกรอบ 48 ชั่วโมงของรอบตรวจ
ระเบียนจากผู้ประสานงาน CVE ระบุว่า CVE-2026-120450 กระทบ LaraDashboard ตั้งแต่ 1.4.0 และก่อน 1.4.9 ส่วน CVE-2026-120488 ระบุเวอร์ชัน ก่อน 1.4.9 คำแนะนำของโครงการตรวจยืนยันพฤติกรรมกับ v1.4.2 และลิงก์โค้ดของ v1.4.8 อยู่ในข้อมูลประกอบ ระยะเวอร์ชันที่ระบุในระเบียน CVE ควรใช้ประกอบการประเมิน แต่ผู้ดูแลต้องตรวจองค์ประกอบที่เปิดใช้จริงด้วย เพราะการมีเลขเวอร์ชันในช่วงดังกล่าวเพียงอย่างเดียวไม่ได้บอกว่า MCP หรือ LaraBuilder เปิดให้ผู้ใช้ที่มีสิทธิ์จำกัดใช้งานหรือไม่
CVE-2026-120450: เครื่องมือ MCP ส่งอีเมลได้ด้วยสิทธิ์อ่าน
คำแนะนำของโครงการอธิบายว่า SendEmailTool ตรวจสิทธิ์ email_template.view ซึ่งเป็นสิทธิ์ดูเทมเพลต ก่อนยอมให้ส่งอีเมล แทนที่จะใช้สิทธิ์ส่งอีเมลเฉพาะทาง ผู้ใช้หรือ token ที่มีสิทธิ์อ่านดังกล่าวจึงอาจเรียกเครื่องมือให้ส่งเนื้อหา HTML ไปยังผู้รับที่เลือกได้ เป็นการใช้ชื่อเสียงและโครงสร้างการส่งอีเมลของแอปพลิเคชันเพื่อส่งข้อความที่ผู้ดูแลไม่ได้ตั้งใจอนุญาต ผลกระทบที่คำแนะนำระบุรวมถึงการส่งข้อความหลอกลวงหรือสแปมจากระบบขององค์กร
คำแนะนำยังกล่าวถึงการบันทึก snapshot ของความสามารถลง MCP token ขณะออก token และการตรวจสิทธิ์ในเวลาที่เรียกใช้เครื่องมือ ซึ่งอาจทำให้ขอบเขตความสามารถของ token ไม่สอดคล้องกับการเปลี่ยนสิทธิ์ผู้ใช้ภายหลัง ประเด็นสำคัญต่อการตอบสนองคืออย่าคิดว่า token ที่ออกไปแล้วถูกจำกัดตามเจตนาปัจจุบันเสมอ ผู้ดูแลควรตรวจรายชื่อ token ที่ยังใช้ได้ สิทธิ์ email_template.view และบันทึกการส่งอีเมลผิดปกติ รวมทั้งหมุนเวียน token ที่เกี่ยวข้องเมื่ออัปเดต
การโจมตีต้องมีบัญชีหรือ token ที่มีสิทธิ์ตามเงื่อนไขของเครื่องมือ จึงไม่ควรอธิบายว่าเป็นการส่งอีเมลโดยผู้โจมตีที่ไม่มีสิทธิ์ใดเลย โค้ดแก้ไขอยู่ในชุดการเปลี่ยนแปลงของ v1.4.9 ซึ่งรวมไฟล์ app/Mcp/Tools/SendEmailTool.php และการทดสอบเครื่องมืออีเมล ผู้พัฒนาที่นำ LaraDashboard ไปปรับแต่งควรทบทวนนโยบายสิทธิ์ที่ใช้กับ MCP ของตนด้วย
CVE-2026-120488: Stored XSS ในบล็อกเนื้อหา
LaraBuilder เก็บโครงสร้างบล็อกใน design_json และมีเส้นทางแสดงผลที่นำ HTML จากบล็อก text editor หรือ HTML ไปแสดงแบบ raw โดยไม่มีการกรองที่เพียงพอ ผู้ใช้ที่มีสิทธิ์สร้างหรือแก้ไขโพสต์ เช่น post.create หรือ post.edit อาจบันทึกสคริปต์หรือแอตทริบิวต์เหตุการณ์ไว้ในเนื้อหา เมื่อผู้ดูแลหรือบรรณาธิการเปิดหน้าพรีวิว หรือเมื่อหน้าเนื้อหาถูกแสดง สคริปต์อาจทำงานในบริบทเว็บนั้นได้ ความเสี่ยงขึ้นกับสิทธิ์ของผู้ที่เปิดดูและขอบเขตที่เนื้อหาเผยแพร่
คำแนะนำต้นทางระบุเส้นทางทั้งหน้าพรีวิวในระบบจัดการและหน้าที่แสดงเนื้อหาต่อสาธารณะ จึงควรตรวจโพสต์และเทมเพลตที่ผู้ใช้ระดับสิทธิ์ต่ำสามารถสร้างได้ ไม่ควรสรุปว่าเป็นเพียงการโจมตีผู้ดูแลในหลังบ้านหรือเป็นปัญหาของทุกหน้าที่ใช้ LaraDashboard โดยอัตโนมัติ ชุดแก้ไข v1.4.9 แตะไฟล์ส่วนแสดงผล เช่น Post.php, BlockRenderer.php, DesignJsonRenderer.php และบล็อกของ LaraBuilder หลายชนิด ผู้ดูแลควรทดสอบพฤติกรรมของเนื้อหา HTML ที่อนุญาตหลังอัปเดต โดยเฉพาะงานที่ใช้บล็อกแบบกำหนดเอง
สิ่งที่ควรทำตอนนี้
ตรวจเวอร์ชันที่กำลังใช้งาน แล้วอัปเดตเป็น LaraDashboard v1.4.9 หรือรุ่นใหม่กว่า จากแหล่งทางการ ตรวจว่ามีการเปิดใช้ MCP และเครื่องมือส่งอีเมลหรือไม่ จากนั้นทบทวนผู้ถือ email_template.view, MCP token ที่ยังคงมีผล และประวัติอีเมลที่ส่งออก หากมีผู้ใช้หลายบทบาทสร้างหน้าเว็บหรืออีเมลผ่าน LaraBuilder ให้ตรวจเนื้อหาที่สร้างก่อนอัปเดตและทดสอบการกรองเมื่อย้ายมาใช้รุ่นใหม่
ระหว่างรอการอัปเดต สามารถจำกัดสิทธิ์การใช้ SendEmailTool และสิทธิ์แก้ไขบล็อก HTML ให้เหลือเฉพาะบุคคลที่เชื่อถือได้ แต่การจำกัดสิทธิ์เป็นเพียงการลดโอกาสเกิดเหตุ ไม่ใช่การแก้โค้ดที่มีปัญหา หลังอัปเดตควรตรวจว่าบิลด์ที่นำขึ้นใช้งานมีชุดการเปลี่ยนแปลงจาก v1.4.9 จริง และทดสอบการส่งอีเมลกับการแสดงผลโพสต์ในสภาพแวดล้อมขององค์กร