Multiples vulnérabilités affectant le framework Laravel

  • Auteur/autrice de la publication :

Origine : bjCSIRT

Numéro : 2026/ALERTE/125

APERÇU :

De multiples vulnérabilités affectant le framework Laravel permettraient à un acteur malveillant de contourner les mécanismes de sécurité, de prendre le contrôle de comptes utilisateurs et de provoquer des opérations destructrices de base de données sur les systèmes affectés. 

DESCRIPTION :

Laravel est un framework de développement d’applications web open source basé sur le langage PHP, largement utilisé pour la création d’API et d’applications métiers. 

Des vulnérabilités ont été découvertes et rendues publiques le 19 octobre 2026 par le chercheur en sécurité Hristijan Manasijev (KIKOmanasijev). La première faille, la plus critique, affecte le composant d’authentification TokenGuard des applications utilisant les bases de données MySQL ou MariaDB résultant d’un traitement incorrect d’une donnée d’authentification lors de la vérification des identifiants. Un acteur malveillant non authentifié pourrait usurper l’identité d’un autre utilisateur et accéder à son compte sans posséder son jeton d’API. 

La seconde faille concerne l’inclusion de relations sur les points de terminaison en lecture causée par un défaut de validation et de contrôle dans le traitement des requêtes HTTP. Un acteur malveillant disposant d’un simple accès en lecture pourrait envoyer une requête spécialement conçue pour provoquer une perte de données irréversible sur les systèmes affectés. 

IMPACT

  • Contournement de l’authentification ;
  • Prise de contrôle de comptes utilisateurs ;
  • Perte irréversible de données ;
  • Atteinte à la confidentialité des données ;
  • Compromission de l’intégrité du système. 

SYSTEMES AFFECTÉS 

  • Contournement de l’authentification via TokenGuard
    • toutes les versions de Laravel antérieures à 12.68.0 ;
    • les versions 13.x de Laravel  antérieures à 13.29.0. 
  • Destruction non autorisée de données
    • les versions 12.x de Laravel comprises entre 12.45.0 (incluse) et 12.68.0 (exclue)
    • les versions 13.x de Laravel antérieures à 13.27.0. 

 MESURES À PRENDRE :

  • Mettre à jour Laravel vers les versions 13.29.0, 12.68.0 ou ultérieure ;
  • Auditer les journaux d’authentification afin de détecter toute connexion inhabituelle sur les routes d’API protégées par jeton, notamment depuis des adresses IP inconnues ;
  • Effectuer une sauvegarde des bases de données exposées par les points de terminaison en lecture incluant le chargement de relations. 

RÉFÉRENCES :