#laravel

ディープダイブ

LaravelはCVE-2026-114509をクリティカル、CVSS v4.0 9.2と評価しています。MySQLまたはMariaDB上の旧式のtoken APIガードでは、未認証の攻撃者が有効なAPIトークンを知らなくても、{"api_token": [0]}のようなJSONボディを送るだけで既存ユーザーとしてサインインできます。12.68.0と13.29.0で修正済みで、11.56.1タグにも修正が含まれます。2026年10月22日から公開PoCが存在しますが、実環境での悪用は確認されていません。