#laravel

Analyse approfondie

Laravel classe CVE-2026-114509 comme critique, CVSS v4.0 9.2 : un attaquant non authentifié peut se connecter sous l’identité d’un utilisateur existant du garde d’API historique token sur MySQL ou MariaDB en envoyant un corps JSON tel que {"api_token": [0]}, sans connaître de jeton d’API valide. Corrigé dans 12.68.0 et 13.29.0, avec le correctif également présent dans le tag 11.56.1. Une preuve de concept publique existe depuis le 22 octobre 2026, et aucune exploitation réelle n’est connue.