CVE-2026-86184: Kritisk loginfejl i Lara Dashboard
Lara Dashboard før 1.3.0 lader angribere logge ind som enhver bruger uden adgangskode via en sårbar login-rute. Opdatér til 1.3.0.
Hvad er det?
CVE-2026-86184 er en sårbarhed i Lara Dashboard, der gør det muligt at omgå login helt. Fejlen sidder i ruten screenshot-login, som er beregnet til automatiske skærmbilleder af systemet, men som i visse opsætninger tillader alle at logge ind som en hvilken som helst registreret bruger blot ved at kende brugerens e-mailadresse. Fejlen opstår, fordi programmet ikke tjekker, om det kører i et produktionsmiljø, angivet ved indstillingen APP_ENV. Er APP_ENV sat til noget andet end ‘production’, for eksempel ‘staging’ eller ‘local’, virker login-omgåelsen. Når en angriber er logget ind, får de adgang til brugeradministration, systemindstillinger, database-indhold og kan i praksis køre vilkårlig kode gennem dashboardets modul-installationsfunktion.
Hvem rammer det?
Sårbarheden rammer virksomheder, der bruger Lara Dashboard i version før 1.3.0, og hvor miljøvariablen APP_ENV ikke er sat til ‘production’. Det gælder typisk test-, udviklings- og staging-miljøer, men også produktionsservere, hvor konfigurationen ved en fejl er sat forkert. Lara Dashboard bruges ofte som administrationspanel til Laravel-baserede webapplikationer, så både interne systemer og kundevendte løsninger hos danske virksomheder og kommuner, der har fået udviklet skræddersyede webløsninger, kan være berørt.
Hvad kan ske?
En angriber, der kender eller gætter en gyldig brugers e-mailadresse, kan opnå fuld administratoradgang uden adgangskode. Herfra kan de læse og ændre data i databasen, oprette nye administratorbrugere, ændre systemindstillinger og installere moduler, hvilket i praksis giver mulighed for at køre vilkårlig kode på serveren. For en dansk virksomhed betyder det risiko for datatab, driftsstop og at serveren bruges som indgang til resten af netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode og ingen handling fra brugeren, og det kan udføres over internettet mod netværket (AV:N). Angrebskompleksiteten er lav (AC:L), så det kræver ikke særlig viden eller adgang til interne systemer at udnytte fejlen. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, fordi angriberen får fuld administratoradgang. Der er pr. offentliggørelsesdatoen ikke rapporteret om aktiv udnyttelse, men fejlen kræver kun kendskab til en gyldig e-mailadresse og en forkert sat miljøvariabel.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen, mens I opdaterer:
- Opdatér Lara Dashboard til version 1.3.0 eller nyere, hvor login-omgåelsen er rettet.
- Tjek, hvilken værdi APP_ENV har på alle jeres servere med Lara Dashboard, både test og produktion, og ret den til ‘production’, hvis den er sat forkert.
- Gennemgå logfiler for kald til /screenshot-login/ med ukendte eller mistænkelige e-mailadresser.
- Skift adgangskoder for alle administratorbrugere og gennemgå brugerlisten for konti, I ikke selv har oprettet.
- Begræns adgang til administrationspaneler med IP-begrænsning eller VPN, så de ikke er tilgængelige direkte fra internettet.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I er usikre på, om jeres opsætning er ramt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Lara Dashboard til version 1.3.0, da sårbarheden er kritisk og nem at udnytte for enhver, der kan nå login-siden. Det er ikke forsvarligt at vente, hvis jeres installation vender ud mod internettet, uanset om I tror, APP_ENV er sat korrekt. Er opdatering ikke mulig med det samme, bør I som minimum blokere ekstern adgang til dashboardet, indtil opdateringen er gennemført.
Tidslinje
Konkrete eksempler
Testmiljø glemt i produktionsopsætning
En dansk kommune har fået udviklet en skræddersyet borgerportal med Lara Dashboard som administrationsværktøj. Under udviklingen blev APP_ENV sat til ‘staging’, og den værdi fulgte med, da løsningen blev sat i drift. En angriber finder dashboardet via en søgning på internettet, gætter en medarbejders e-mailadresse og logger ind som administrator uden adgangskode, hvorefter borgerdata i databasen er tilgængelige.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger Lara Dashboard i en version før 1.3.0. Tjek versionsnummeret i jeres installation, og undersøg om miljøvariablen APP_ENV er sat til noget andet end ‘production’ på nogen af jeres servere.
Hvordan tjekker vi, om APP_ENV er sat forkert?
Find konfigurationsfilen, ofte kaldet .env, i Lara Dashboard-installationen, og se på linjen APP_ENV. Står der andet end ‘production’, for eksempel ‘local’, ‘staging’ eller ‘testing’, er systemet sårbart, uanset om det ligger på en produktionsserver.
Kan vi vente med at opdatere til i næste uge?
Vi anbefaler ikke at vente. Sårbarheden kræver hverken adgangskode eller brugerhandling, og angriberen skal blot kende en gyldig e-mailadresse for at få fuld administratoradgang. Vender dashboardet ud mod internettet, bør I lukke ekstern adgang, til opdateringen er på plads.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I tegn på, at nogen har udnyttet fejlen og fået adgang til persondata, skal I vurdere, om det udløser anmeldepligt til Datatilsynet efter databeskyttelsesforordningen. Det bør ske senest 72 timer efter, I bliver opmærksomme på bruddet.
Hvordan opdager vi, om nogen allerede har misbrugt fejlen?
Gennemgå adgangslogfiler for kald til stien /screenshot-login/, og se efter uventede logins eller nye administratorkonti, I ikke selv har oprettet. Mangler I logning, bør I overveje at få en ekstern gennemgang af systemet.
Hvad gør vi, hvis vi ikke selv har it-personale til at håndtere dette?
Så bør I kontakte en ekstern it-leverandør eller sikkerhedsrådgiver, da sårbarheden er kritisk og nem at udnytte. Vi hos Auroa hjælper gerne med både opdatering og en gennemgang af, om I allerede er ramt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Lara Dashboard before 1.3.0 contains an authentication bypass vulnerability in the screenshot-login route that allows unauthenticated attackers to authenticate as any user by email when APP_ENV is not production. Attackers can request the GET /screenshot-login/{email} endpoint with a registered email address to receive a fully authenticated session, enabling access to user administration, settings, database contents, and arbitrary code execution through the module installer.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.