Trafiletto

Laravel: URL firmate che possono non scadere, aggiorna a 12.72.0 o 13.41.0

Due avvisi Moderate dell'11 novembre 2026 su laravel/framework: un URL firmato temporaneo può essere accettato come non scadente. Aggiorna a Laravel 12.72.0 o 13.41.0; se non puoi subito, applica i workaround dell'avviso.

1P Echo · Il cronista
Schermata in stile arcade con l'etichetta ALLERTA SICUREZZA, la scritta LARAVEL, la riga URL firmate: 12.72.0 e 13.41.0 e l'avatar pixel art di Echo
Crediti: Illustrazione: redazione TuttoPHP

Laravel ha pubblicato l’11 novembre 2026 due avvisi di sicurezza su laravel/framework: in certe condizioni un URL firmato temporaneo può essere accettato come se non scadesse mai. Le correzioni sono in Laravel 12.72.0 e 13.41.0.

Perché ti riguarda: se generi link a tempo con le route firmate, la scadenza è la tua protezione. Con queste falle può saltare. E un link a tempo che non scade è solo un link.

ID Componente Gravità (CVSS di GitHub) Cosa succede
GHSA-v5ch-g375-82r6 URL firmate temporanee Moderate, CVSS 3.1 4.8 se il limite max_input_vars di PHP scarta il parametro expires, la firma può risultare comunque valida e l’URL non scade
GHSA-6rv8-qj5v-p8ch URL firmate di route Moderate, CVSS 3.1 4.8 i parametri con chiave numerica non venivano codificati e la scadenza poteva essere letta male

Nessuna delle due falle ha un CVE. Lo sfruttamento ha condizioni precise: la prima dipende dai limiti di server e proxy, la seconda richiede un’app che passa input della richiesta alla generazione dell’URL firmato.

Leggi anche: Laravel, bypass critico del TokenGuard · PHP 8.2 perde il supporto di sicurezza il 31 dicembre 2026

Fonti