- Aktif istismar
- CWE-502
CVE-2018-15133
Laravel Framework'te Güvenilmeyen Verinin Serileştirilmesinden Kaynaklanan Uzaktan Kod Çalıştırma Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3001 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Laravel Framework 5.5.40 sürümüne kadar ve 5.6.x serisinin 5.6.29 sürümüne kadar olan sürümlerde, potansiyel olarak güvenilmeyen bir X-XSRF-TOKEN değeri üzerinde unserialize çağrısı yapılması sonucunda uzaktan kod çalıştırma meydana gelebilir. Bu sorun, Illuminate/Encryption/Encrypter.php dosyasındaki decrypt metodu ile phpggc içindeki gadgetchains/Laravel/RCE/3/chain.php dosyasındaki PendingBroadcast bileşenini kapsamaktadır. Saldırganın uygulama anahtarını bilmesi gerekir; bu anahtar normalde hiçbir zaman ele geçirilemez, ancak saldırganın daha önce ayrıcalıklı erişim elde etmesi veya önceki bir saldırıyı başarıyla gerçekleştirmesi durumunda mümkün olabilir.
Kaynaktaki açıklama (İngilizce)
In Laravel Framework through 5.5.40 and 5.6.x through 5.6.29, remote code execution might occur as a result of an unserialize call on a potentially untrusted X-XSRF-TOKEN value. This involves the decrypt method in Illuminate/Encryption/Encrypter.php and PendingBroadcast in gadgetchains/Laravel/RCE/3/chain.php in phpggc. The attacker must know the application key, which normally would never occur, but could happen if the attacker previously had privileged access or successfully accomplished a previous attack.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Laravel Framework | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.