Laravel, bypass critico del TokenGuard (CVE-2026-114509): controlla il composer.lock

Laravel ha reso pubblica una falla Critical nel TokenGuard, il guard integrato per le API a token: CVE-2026-114509 (GHSA-f9x3-7vq9-cph6) permette a chi non è autenticato di entrare come un utente esistente qualsiasi. L’advisory è del 19 ottobre ed è nel database di GitHub dal 23: sono passate più di due settimane, ma vale la pena tornarci, perché le versioni corrette esistono dal 25 agosto.

Perché ti riguarda: se aggiorni con regolarità sei probabilmente già a posto. Se il tuo composer.lock è fermo, o se sei ancora su Laravel 11 o precedenti, sei esposto e una patch per il tuo ramo non arriverà.

Cosa succede

Nella falla del TokenGuard, su alcune configurazioni di database (MySQL e MariaDB) una credenziale API che non è una stringa viene gestita male durante la ricerca dell’utente. Invece di fallire, la query restituisce un utente che non dovrebbe. Risultato: un attaccante non autenticato può prendersi l’account sulle rotte protette da quel guard. L’advisory non indica workaround: l’unica difesa è aggiornare.

La seconda falla riguarda l’inclusione delle relazioni su alcuni endpoint di lettura. In condizioni specifiche una richiesta di sola lettura può innescare un’operazione distruttiva su una tabella collegata. Un utente con soli permessi di lettura potrebbe quindi causare una perdita di dati irreversibile.

Leggi anche: Symfony chiude 21 falle in un giorno e PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 chiudono due falle RCE critiche.