Injeção de quebras de linha na validação padrão de email
Um endereço fornecido em um formulário pode chegar ao envio com sequências CRLF (retorno de carro e quebra de linha) que não foram neutralizadas adequadamente. A falha na validação padrão de email do Laravel, combinada com o tratamento de certas sequências pelo Symfony Mailer e pelo Symfony Mime, permite que um atacante sem autenticação interfira nas mensagens enviadas pela aplicação. Conforme o caminho de envio, isso pode alterar o conteúdo ou os destinatários e provocar o envio de mensagens não previstas.
Casos de uso afetados
- Você mantém um fluxo de autenticação que envia mensagens para o endereço preenchido no formulário. Quando essa entrada chega ao envio por uma versão afetada, um atacante pode manipular o processamento da mensagem sem precisar se autenticar.
- O formulário de contato da sua aplicação envia uma resposta para o email informado pelo visitante. Esse endereço também exige conferência, porque a falha pode direcionar a mensagem para destinatários diferentes dos previstos ou permitir o uso indevido do servidor de email.
Confira na sua instância
No diretório da aplicação em execução, confira a versão instalada de laravel/framework e compare-a com a faixa correspondente à sua linha. Revise o caminho do campo de email nos formulários de autenticação e contato até a definição do destinatário, verificando como a validação lida com caracteres de retorno de carro e quebra de linha. Depois de atualizar, use um ambiente de teste com captura de emails para conferir se uma submissão válida produz somente a mensagem esperada, com o destinatário e o conteúdo previstos. Essa conferência funcional acompanha a atualização, mas não comprova, por si só, a ausência da falha.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| laravel/framework 13.x | <= 13.9.0 | >= 13.10.0 |
| laravel/framework 12.x | < 12.60.0 | >= 12.60.0 |
O aviso também identifica a falha como CVE-2026-48019 e cita possíveis acessos não autorizados, conforme o conteúdo enviado e a configuração do servidor de email. Há correção disponível no projeto, mas você precisa confirmar que a aplicação em execução recebeu a atualização. O comunicado não apresenta uma mitigação alternativa.
