CVE-2021-3129

Uma ferramenta de depuração chamada Ignition usada no Laravel tem uma falha que permite que invasores executem qualquer código em um site sem precisar de senha, se o site estiver em modo de depuração. Isso acontece porque a ferramenta lê e escreve arquivos de forma insegura.

O Ignition anterior à versão 2.5.2 usa file_get_contents() e file_put_contents() sem validação adequada, permitindo que atacantes não autenticados executem código remoto em aplicações Laravel rodando em modo de depuração (Laravel < 8.4.2). A vulnerabilidade não requer autenticação e tem vetor de ataque baseado em rede sem necessidade de interação do usuário.