CVE-2026-102279
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W frameworku Laravel przed wersjami 12.69.0 i 13.30.0 strony debugowania wyjątków przy włączonym APP_DEBUG przekazują dane kontrolowane przez atakującego do podpowiedzi Tippy.js skonfigurowanej z allowHTML=true. Umożliwia to atak DOM-based cross-site scripting, gdy użytkownik najedzie kursorem na podpowiedź.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co grozi kradzieżą sesji lub danych. Ryzyko występuje tylko przy włączonym trybie debugowania (APP_DEBUG=true), który nie powinien być aktywny na produkcji.
Rekomendacja
Zaktualizuj Laravel do wersji 12.69.0 lub 13.30.0. Upewnij się, że na środowiskach produkcyjnych APP_DEBUG jest wyłączone.
Inne podatności w Laravel
Zobacz wszystkie- CVE-2026-114509Krytyczne
W Laravel przed wersjami 12.68.0 i 13.29.0 TokenGuard skonfigurowany jako standardowy strażnik API oparty na tokenach nie odrzuca spreparowanego niełańcuchowego poświadczenia. W niektórych konfiguracjach MySQL lub MariaDB wyszukiwanie uwierzytelniania może dopasować nieoczekiwanego istniejącego użytkownika, umożliwiając obejście uwierzytelniania i przejęcie konta.
- CVE-2026-114508Średnie
W frameworku Laravel w wersjach od 12.45.0 do 12.68.0 oraz 13.27.0 spreparowane dołączenie relacji na endpointcie tylko do odczytu może wywołać destrukcyjną operację na powiązanej tabeli zamiast pobrania danych. Użytkownik z prawem odczytu, ale bez prawa zapisu, może opróżnić dane powiązanej tabeli, powodując nieodwracalną utratę danych, odmowę usługi i utratę integralności danych.
- CVE-2026-48019Wysokie
Laravel przed wersjami 12.60.0 i 13.10.0 zawiera podatność na wstrzyknięcie CRLF w walidacji adresów e-mail, która w połączeniu z obsługą sekwencji znaków przez Symfony Mailer i Symfony Mime może pozwolić nieuwierzytelnionemu atakującemu na ingerencję w wysyłkę wiadomości e-mail w aplikacjach wysyłających maile na adresy podane przez użytkownika. Problem naprawiono w wersjach 12.60.0 i 13.10.0.
Oryginalny opis (angielski, źródło NVD)
Laravel is a web application framework. Prior to 12.69.0 and 13.30.0, Laravel exception debug pages with APP_DEBUG=true pass attacker-controlled input to a Tippy.js tooltip configured with allowHTML true, enabling DOM-based cross-site scripting when a user hovers over the tooltip. This issue is fixed in versions 12.69.0 and 13.30.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS