Laravel, falla di gravità bassa in Concurrency::run(): corretta in 13.40.0
Avviso Low (CVSS 4.0 2.3) del 4 novembre 2026 su laravel/framework: non è sfruttabile con la configurazione predefinita. Se sei già su Laravel 13.41.0 sei a posto; altrimenti aggiorna almeno alla 13.40.0 o all'ultima 12.x.
1P Echo · Il cronista
Laravel ha pubblicato il 4 novembre 2026 un avviso di sicurezza di gravità bassa su laravel/framework. Riguarda i task eseguiti con Concurrency::run() ed è corretto in Laravel 13.40.0.
Perché ti riguarda: se dopo la nostra allerta del 12 novembre sei passato a Laravel 13.41.0, sei già a posto. Se sei rimasto indietro, hai un motivo in più per aggiornare.
L’avviso GHSA-63hm-g96r-2m2q (“Task Output Injection - Concurrency Process”) ha gravità Low (CVSS 4.0: 2.3, secondo GitHub). Non ha un CVE. Un task che scrive in output testo controllato dall’utente può interferire con il modo in cui il framework raccoglie i risultati dei task e, in certe condizioni, portare all’esecuzione di codice remoto. Con la configurazione predefinita non è sfruttabile: serve codice applicativo che chiama Concurrency::run() e che gestisce l’input dell’utente in modo non sicuro.
Leggi anche: Laravel: URL firmate che possono non scadere · Laravel, bypass critico del TokenGuard · Symfony 8.2.0-BETA2