CVE-2026-114509
Laravel-TokenGuard-Authentifizierungsumgehung durch nicht-stringförmige API-Anmeldedaten
- Veröffentlicht
- 21.10.2026
- Aktualisiert
- 28.10.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 27.10.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 55,9 %
- Modelldatum
- 31.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Laravel ist ein Webanwendungs-Framework. Vor 12.68.0 und 13.29.0 lehnt ein als standardmäßiger tokenbasierter API-Guard konfigurierter TokenGuard eine manipulierte nicht-stringförmige Anmeldeinformation nicht ab. Unter betroffenen MySQL- oder MariaDB-Konfigurationen kann die Authentifizierungsabfrage einen unbeabsichtigten bestehenden Benutzer treffen, wodurch ein nicht authentifizierter Angreifer die Authentifizierung umgehen und ein Konto auf durch TokenGuard geschützten Routen übernehmen kann. Dieses Problem ist in den Versionen 12.68.0 und 13.29.0 behoben.
Quellen
- CVE-2026-114509Exploit
Umgehung der Laravel-TokenGuard-Authentifizierung durch nicht-stringförmige API-Anmeldedaten
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.