CVE-2026-114509
Contorno de autenticação do Laravel TokenGuard através de credenciais de API não-string
O TokenGuard embutido do Laravel, quando configurado com um guarda de API padrão baseado em token, pode ser contornado para autenticar como um usuário existente arbitrário sem conhecimento de seu token de API válido.
Traduzido automaticamente do inglês.
- laravel framework
- Crítica
- CVSS 9.2
- EPSS 0,4%
- Versão corrigida informada
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| laravel framework | < 12.68.0; >= 13.0.0, < 13.29.0 | Nenhuma informada |
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| laravel/framework (Packagist) | >= 13.0.0, < 13.29.0 | 13.29.0 | GHSA-f9x3-7vq9-cph6 |
| laravel/framework (Packagist) | < 12.68.0 | 12.68.0 | GHSA-f9x3-7vq9-cph6 |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.2 (v4.0, pontuado por GitHub)
- EPSS
- 0,4% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Fraqueza
- CWE-287: Improper Authentication; CWE-1287: Improper Validation of Specified Type of Input
- Fabricante
- laravel, framework
Linha do tempo
- O GitHub publicou o alerta GHSA-f9x3-7vq9-cph6 (crítica). Corrigido em 13.29.0, 12.68.0.