Kritická zraniteľnosť Laravel umožňuje obísť autentifikáciu

Vývojári platformy Laravel opravili kritickú zraniteľnosť autentifikačnej ochrany TokenGuard, ktorá umožňuje zadaním špeciálnej hodnoty v rámci prihlasovania získať prístup do účtu ľubovoľného používateľa.

Zraniteľné systémy:

  • Laravel 12, verzie staršie ako 12.68.0
  • Laravel 13, verzie staršie ako 13.29.0

Opis činnosti:

CVE-2026-114509 (CVSS v4.0 skóre 9,2)

Kritická zraniteľnosť v PHP frameworku Laravel, ktorá umožňuje vzdialenému neautentifikovanému útočníkovi obísť autentifikáciu vstavaného mechanizmu TokenGuard a prihlásiť sa ako ľubovoľný existujúci používateľ bez znalosti jeho API tokenu. Zraniteľnosť je zneužiteľná pri istých konfiguračných nastaveniach databáz MySQL a MariaDB, keď je TokenGuard nastavený ako štandardná ochrana API založená na tokenoch. Stačí na to odoslanie špeciálne upravenej nereťazcovej hodnoty ako prihlasovacieho údaju.

Možné škody:

  • Obídenie bezpečnostných prvkov

Odporúčania:

Bezodkladná aktualizácia platformy Laravel aspoň na verziu 12.68.0 alebo 13.29.0.

Odkazy: