Livewire 4.4.8 chiude un bypass di #[Authorize]: aggiorna se usi la 4.3 o la 4.4

Dalla 4.3.0 alla 4.4.7 un'azione protetta con #[Authorize] poteva agire su un record diverso da quello controllato, e i metodi #[Json] partivano prima del controllo. La correzione è in Livewire 4.4.8.

Livewire 4.4.8 corregge una falla nell’attributo #[Authorize]. Nelle versioni dalla 4.3.0 alla 4.4.7 un’azione protetta poteva girare su un record che l’utente non è autorizzato a toccare. L’avviso è GHSA-mhf7-xp6r-6qrc, pubblicato il 22 ottobre 2026.

Perché ti riguarda: se usi Livewire 4 e proteggi le azioni dei componenti con #[Authorize], quel controllo poteva far passare chi non doveva. Per esempio, un utente poteva cancellare il commento di un altro.

I problemi sono tre. Nel primo, il controllo di #[Authorize] e l’azione potevano leggere i parametri in modo diverso: la verifica passava su un record dell’utente, l’azione lavorava su un altro. Il secondo è lo stesso difetto nei metodi che ascoltano eventi con #[On]. In pratica il buttafuori controllava un biglietto e faceva entrare un’altra persona. Il terzo riguarda i metodi #[Json], dove il corpo girava prima del controllo: la risposta era un 403, ma le scritture sul database erano già avvenute.

La 4.4.8 accetta i parametri solo come lista o con chiavi nominate e autorizza i metodi #[Json] prima di eseguirli. La segnalazione è di Yousef Aman.

Livewire 4.4.8 chiude un bypass di #[Authorize]: aggiorna se usi la 4.3 o la 4.4

Fonti