Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-287
  • CWE-1287

CVE-2026-114509

Laravel TokenGuard kimlik doğrulama atlatma (API kimlik bilgisi tip doğrulaması eksik)

laravel framework

Kritik 9,2 CVSS 4.0
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
6 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, uygulamanın kullanıcı hesaplarının saldırganın eline geçmesine yol açabilir ve müşteri verilerinin sızması riskini doğurur. Kimlik doğrulama mekanizmasını hedef aldığı için öncelikli olarak ve hızlıca giderilmesi gerekir.

ÖzetTürkçe

Laravel web uygulama çatısındaki TokenGuard, standart belirteç tabanlı API koruyucusu olarak yapılandırıldığında, hazırlanmış dize olmayan (string olmayan) bir kimlik bilgisini reddetmiyor. Etkilenen MySQL veya MariaDB yapılandırmalarında kimlik doğrulama sorgusu beklenmeyen mevcut bir kullanıcıyla eşleşebiliyor. Bu sürümler 12.68.0 öncesi ve 13.29.0 öncesi Laravel kurulumlarını etkiliyor.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan TokenGuard ile korunan rotalara erişebilir ve başka bir kullanıcının hesabını ele geçirebilir. Bu, kullanıcı verilerine erişim ve bunların değiştirilmesi anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

Laravel is a web application framework. Prior to 12.68.0 and 13.29.0, TokenGuard configured as a standard token-based API guard does not reject a crafted non-string credential. Under affected MySQL or MariaDB configurations, the authentication lookup can match an unintended existing user, allowing an unauthenticated attacker to bypass authentication and take over an account on routes protected by TokenGuard. This issue is fixed in versions 12.68.0 and 13.29.0.

Ne yapmalı?

  1. Laravel framework paketini 12.68.0 veya 13.29.0 sürümüne yükseltin (sizin kullandığınız ana sürüme uygun olan). Üretici
  2. Yükseltmeden sonra TokenGuard kullanan uygulamaların API kimlik doğrulama akışlarını test edin ve beklenmeyen kullanıcı eşleşmelerine karşı günlükleri kontrol edin. Genel öneri

Ek önlemler

  • TokenGuard ile korunan API uçlarına yapılan kimlik doğrulama isteklerini ve başarısız denemeleri izleyin; olağandışı hesap erişimlerini araştırın. Genel öneri
  • Yükseltme yapılana kadar, API kimlik doğrulamasını dize olmayan girdileri ek olarak reddedecek şekilde ön katmanda (ör. ters vekil veya WAF kuralıyla) sınırlandırmayı değerlendirin. Genel öneri
  • Kullanıcı hesaplarında şüpheli oturum açmaları için kimlik bilgilerinin yenilenmesini ve oturumların sonlandırılmasını planlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
laravel framework < 12.68.0 12.68.0

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.