Execução de código nas dicas da página de debug
Com APP_DEBUG=true, uma entrada controlada por um atacante chega a uma dica da página de erro renderizada pelo Tippy.js com allowHTML: true. Essa configuração permite interpretar a entrada como HTML e executar código no navegador ao passar o mouse sobre a dica, caracterizando uma falha de XSS (cross-site scripting) baseada no DOM (Document Object Model). A interação com a dica faz parte do mecanismo descrito no aviso.
Casos de uso afetados
- Durante a investigação de um erro, você abre a interface de debug de uma aplicação numa versão afetada. Se uma entrada manipulada por um atacante aparecer na dica vulnerável, passar o mouse sobre ela pode executar código no seu navegador.
- Uma aplicação publicada com APP_DEBUG=true expõe a mesma página de diagnóstico. O cenário descrito exige que a entrada do atacante alcance a dica e que você interaja com ela no navegador.
Confira na sua instância
Na aplicação implantada, execute composer show laravel/framework e compare a versão instalada com a faixa da linha correspondente na tabela. Execute também php artisan about --only=environment e confira o estado do debug. Em produção, mantenha APP_DEBUG=false e confira a configuração carregada, pois o cache de configuração pode conservar o valor anterior do arquivo .env. A [documentação de configuração do Laravel](https://laravel.com/docs/12.x/configuration#debug-mode) explica o modo de debug e o funcionamento desse cache.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| laravel/framework 12.x | <v12.69.0 | >=v12.69.0 |
| laravel/framework 13.x | <v13.30.0 | >=v13.30.0 |
O aviso também identifica a falha como CVE-2026-102279. As faixas indicam correções disponíveis no framework. Confira a versão instalada para saber se a sua aplicação recebeu a atualização.
