- Referentie
- HI-OP-2026-9HWE-02
- Ernst
- Hoog
- CVSS
-
4.0 8.7
AV:N/AC:L/ AT:N/ PR:L/ UI:N/ VC:H/ VI:H/ VA:H/ SC:N/ SI:N/ SA:N 3.1 8.8AV:N/AC:L/ PR:L/ UI:N/ S:U/ C:H/ I:H/ A:H - Waar
- app/Http/Controllers/ProfileController.php, regel 42
- Wie kan dit
- Elke ingelogde gebruiker
- Hertest
- Opgelost
Iedere gebruiker kan zichzelf beheerder maken via zijn profiel
Het profielformulier slaat alles op wat wordt meegestuurd, ook het veld dat bepaalt of iemand beheerder is.
Bewijs
// app/Http/Controllers/ProfileController.php, regel 42
public function update(Request $request)
{
$request->user()->update($request->all());
}Impact
Een gewone gebruiker kan alle accounts, gegevens en instellingen van het platform beheren. Van buitenaf vind je dit alleen met geluk. In de code staat het er gewoon.
Oplossing
app/Http/Controllers/ProfileController.php
public function update(UpdateProfileRequest $request)
{
Verwijderd: $request->user()->update($request->all());
Toegevoegd: $request->user()->update($request->validated());
}