Më 23 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-f9x3-7vq9-cph6 (CVE-2026-114509) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën laravel/framework të ekosistemit Composer. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- laravel/framework (Composer) — versionet e prekura:
>= 13.0.0, < 13.29.0; versioni me rregullim:13.29.0 - laravel/framework (Composer) — versionet e prekura:
< 12.68.0; versioni me rregullim:12.68.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-287 (Improper Authentication), CWE-1287 (Improper Validation of Specified Type of Input)
- Identifikuesit: GHSA-f9x3-7vq9-cph6, CVE-2026-114509
Përmbledhja zyrtare
Anashkalim i autentikimit në Laravel TokenGuard përmes kredencialeve API që nuk janë të tipit string.
TokenGuard, mekanizmi i integruar i Laravel, mund të lejojë anashkalimin e autentikimit kur konfigurohet me një guard standard për API me bazë token. Dobësia mund t’i mundësojë një sulmuesi të autentikohet si një përdorues ekzistues, pa njohur token-in e tij të vlefshëm API.
Në konfigurime të caktuara të bazave të të dhënave MySQL/MariaDB, sulmuesi mund të dërgojë një vlerë kredenciali të krijuar posaçërisht, që nuk është e tipit string. Përpunimi i pasaktë i saj gjatë kërkimit për autentikim bën që kërkesa në bazën e të dhënave të përputhet me regjistrimin e një përdoruesi tjetër, në vend që autentikimi të dështojë. Si pasojë, një sulmues i paautentikuar mund të hyjë si ai përdorues pa zotëruar token-in e tij.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin laravel/framework, përditësojeni sa më shpejt në versionin 13.29.0 ose më të ri.
