Krayin laravel-crmの権限管理不備

Laravel — CVE-2026-97895

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

Krayin laravel-crmで、役割を設定する処理に問題があり、権限が正しく制御されない不具合です。遠隔から悪用される可能性があり、公開済みの攻撃手法もあります。

放置するとどうなるか

本来できない操作を許してしまい、管理者権限の乗っ取りや設定変更につながるおそれがあります。社内の利用者管理が崩れ、情報流出の原因になります。

今すぐやること

Krayin laravel-crmを2.2.6へ更新してください。ユーザー権限の見直しも行い、role_id を使う画面やAPIの利用状況を制作会社・保守会社に確認してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Laravel が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「up to 2.2.5」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

A vulnerability was determined in krayin laravel-crm up to 2.2.5. This affects an unknown part of the file packages/Webkul/Admin/src/Http/Controllers/Settings/UserController.php of the component User Management. Executing a manipulation of the argument role_id can lead to improper privilege management. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 2.2.6 is able to mitigate this issue. This patch is called 5469d70336fbb25e8e513683e82b32982ce8aa82. Upgrading the affected component is advised.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。