CVE-2024-55661

Laravel Pulse è uno strumento di monitoraggio delle prestazioni delle applicazioni in tempo reale e un dashboard per le applicazioni Laravel. È stata scoperta una vulnerabilità in Laravel Pulse nelle versioni precedenti alla 1.3.1 che potrebbe consentire l'esecuzione di codice remoto attraverso il metodo pubblico `remember()` nel trait `Laravel\Pulse\Livewire\Concerns\RemembersQueries`. Questo metodo è accessibile tramite componenti Livewire e può essere sfruttato per chiamare callable arbitrari all'interno dell'applicazione. Un utente autenticato con accesso al dashboard di Laravel Pulse può eseguire codice arbitrario chiamando qualsiasi funzione o metodo statico in cui il callable è una funzione o un metodo statico e il callable non ha parametri o non richiede tipi di parametri stretti. Il componente vulnerabile è il metodo `remember(callable $query, string $key = '')` nel trait `Laravel\Pulse\Livewire\Concerns\RemembersQueries`, e la vulnerabilità interessa tutti i componenti Pulse che utilizzano questo trait. La versione 1.3.1 include una patch correttiva.