CVE-2026-120450mediumCWE-863

CVE-2026-120450: falha de média gravidade em LaraDashboard

LaraDashboard 1.4.0 before 1.4.9 Improper Authorization via MCP send-email Tool

Publicada em

Seguir esta CVE+ Monitorar laradashboard

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.2%
LaraDashboard 1.4.0 before 1.4.9 contains an improper authorization vulnerability that allows authenticated users with read-only email_template.view permission to send arbitrary emails via the MCP send-email tool. Attackers can mint an MCP token and call send-email with any recipient, subject, and raw HTML body to deliver phishing or spam from the site's mailer.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Produtos afetados
LaraDashboard · LaraDashboard
CVEs relacionadas — LaraDashboard

No mesmo produto, das mais perigosas para as menos.

CVE-2026-120487HIGHLaraDashboard before 1.4.5 Incorrect Authorization via SettingPolicy Core UpgradesEPSS 0.5%CVE-2026-120488MEDIUMLaraDashboard before 1.4.9 Stored XSS via LaraBuilder design_json Block ContentEPSS 0.2%