Os dois avisos afetam recursos distintos do Laravel. O TokenGuard pode autenticar um atacante como outro usuário sob determinadas configurações de MySQL ou MariaDB. A outra falha permite que uma consulta com inclusão de relacionamentos provoque a exclusão de registros. Confira quais desses recursos você utiliza e compare a versão instalada com a correção indicada para sua linha.
Aplicativo
Laravel
Data do compilado
Vulnerabilidades
2
As faixas abaixo preservam os valores da API e devem ser interpretadas dentro da linha indicada. A correção disponível no projeto precisa estar instalada na sua aplicação.
Gravidade críticaCVSS: 9,2/10Correção disponível
TokenGuard permite autenticação como outro usuário sem token válido
O TokenGuard integrado ao Laravel apresenta uma falha quando é usado no guard padrão de autenticação por token. Sob determinadas configurações de MySQL ou MariaDB, uma credencial especialmente preparada com tipo diferente de string pode fazer a consulta de autenticação selecionar um registro de usuário indevido. Um atacante sem autenticação consegue então assumir a identidade desse usuário sem conhecer seu token válido e acessar as rotas protegidas pelo guard afetado.
Casos de uso afetados
Você mantém rotas autenticadas pelo TokenGuard e consulta os usuários em MySQL ou MariaDB. Esse é o cenário descrito no aviso, embora o comunicado não detalhe quais configurações do banco permitem a exploração.
Uma integração utiliza tokens para acessar recursos associados a cada usuário. Nas condições afetadas, a consulta pode autenticar a requisição com outra identidade e permitir acesso aos recursos dessa identidade.
Confira na sua instância
Confira na configuração de autenticação se as rotas da sua aplicação utilizam o TokenGuard e identifique o banco consultado por esse guard. Compare a versão instalada de laravel/framework com as faixas da sua linha. Como teste de regressão em ambiente isolado, verifique se credenciais com tipo diferente de string são recusadas sem associar a requisição a um usuário. Confira também se um token válido continua autenticando exclusivamente o usuário correspondente.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
laravel/framework 13.x
< 13.29.0
>= 13.29.0
laravel/framework 12.x
< v12.68.0
>= v12.68.0
Identificador CVE-2026-114509. A pontuação 9,2 corresponde ao CVSS 4.0 da fonte. O aviso não permite estender essa conclusão a todos os mecanismos de autenticação do Laravel.
Gravidade moderadaCVSS: 6,5/10Correção disponível
Inclusão de relacionamentos permite excluir registros por endpoints de leitura
O processamento da inclusão de relacionamentos em determinados endpoints de leitura pode executar uma ação destrutiva no banco. Uma requisição preparada para explorar esse comportamento pode esvaziar uma tabela relacionada mesmo quando o acesso concedido permite apenas consultar registros. A exclusão pode causar perda irreversível dos registros e indisponibilidade das funções que dependem dessa tabela.
Casos de uso afetados
Você disponibiliza endpoints de consulta que incluem registros relacionados na resposta. Revise o processamento dessa inclusão, pois o aviso associa a falha a esse recurso em determinados endpoints.
Um perfil possui somente permissão de leitura, mas consegue consultar relacionamentos pelo endpoint afetado. Nessas condições, a restrição de escrita do perfil não evita a ação destrutiva descrita no comunicado.
Confira na sua instância
Localize os endpoints de leitura que aceitam inclusão de relacionamentos e confira a versão instalada de laravel/framework. Em um ambiente isolado com registros descartáveis, exercite essas consultas usando um perfil com acesso somente de leitura. Acompanhe as instruções executadas no banco e compare o conteúdo das tabelas relacionadas entre as consultas. Esse teste ajuda você a detectar alterações indevidas, mas o aviso não fornece os parâmetros necessários para reproduzir especificamente a exploração.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
laravel/framework 12.x
>= 12.45.0
>= 12.68.0
laravel/framework 13.x
< 13.27.0
>= 13.27.0
Identificador CVE-2026-114508. A API informa a faixa afetada da linha 12.x sem limite superior e registra separadamente a correção a partir de 12.68.0. Os valores foram preservados literalmente. O comunicado não identifica os endpoints ou as funções vulneráveis.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
