Уязвимость в Crater Invoice позволяет неаутентифицированному злоумышленнику, знающему APP_KEY, добиться удаленного выполнения команд на сервере путем манипулирования файлом cookie laravel_session, используя произвольную десериализацию через зашифрованные данные сеанса. Вектор эксплуатации этой уязвимости заключается в том, что злоумышленник получает секретный APP_KEY Laravel, что позволит ему расшифровать и манипулировать файлами cookie сеанса (laravel_session), содержащими сериализованные данные. Изменяя эти данные и повторно шифруя их с помощью APP_KEY, злоумышленник может вызвать произвольную десериализацию на сервере, что потенциально приведет к удаленному выполнению команд (RCE). Уязвимость в основном эксплуатируется путем доступа к открытому файлу cookie и манипулирования им с использованием секретного ключа для получения вредоносного доступа к серверу.