CVE-2026-114509
Contorno de autenticação do Laravel TokenGuard através de credenciais de API não-string
O TokenGuard embutido do Laravel, quando configurado com um guarda de API padrão baseado em token, pode ser contornado para autenticar como um usuário existente arbitrário sem conhecimento de seu token de API válido.
Traduzido automaticamente do inglês.
- laravel/framework (Packagist)
- Crítica
- CVSS 9.2
- EPSS 0,4%
- Versão corrigida informada
O que fazer
Versão corrigida informada
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| laravel/framework (Packagist) | >= 13.0.0, < 13.29.0 | 13.29.0 | GHSA-f9x3-7vq9-cph6 |
| laravel/framework (Packagist) | < 12.68.0 | 12.68.0 | GHSA-f9x3-7vq9-cph6 |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.2 (v4.0, pontuado por GitHub)
- EPSS
- 0,4% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
Linha do tempo
- O GitHub publicou o alerta GHSA-f9x3-7vq9-cph6 (crítica). Corrigido em 13.29.0, 12.68.0.