PHP web çatısı Laravel, 19 Ekim 2026’da token tabanlı API koruyucusundaki kritik bir kimlik doğrulama atlatma açığı (CVE-2026-114509) için güvenlik duyurusu yayımladı. Duyuruya göre açık, saldırganın geçerli API token’ını bilmeden var olan herhangi bir kullanıcı olarak kimlik doğrulamasına izin verebiliyor. Düzeltme 12.68.0 ve 13.29.0 sürümleriyle geldi.
Ne oldu
Laravel uygulamaları, API isteklerini doğrulamak için farklı “koruyucular” (guard) kullanabiliyor. Bunlardan biri, isteğe eklenen token’ı veritabanındaki kullanıcı kaydıyla eşleştiren TokenGuard. NVD kaydına göre standart token tabanlı API koruyucusu olarak yapılandırılan TokenGuard, özel hazırlanmış ve metin (string) olmayan bir kimlik bilgisini reddetmiyor. Uygulama MySQL ya da MariaDB kullanıyorsa bu durumda veritabanı sorgusu istenmeyen, var olan bir kullanıcıyla eşleşebiliyor; sonuç, TokenGuard ile korunan uç noktalarda kimlik doğrulaması olmadan hesap ele geçirme.
CVE kaydını GitHub atadı ve açığa CVSS 4.0 ölçeğinde 9,2 (kritik) puan verdi. Puan vektörüne göre saldırı ağ üzerinden, kimlik bilgisi ve kullanıcı etkileşimi gerekmeden yapılabiliyor; ancak belirli koşulların (MySQL ya da MariaDB) bulunması gerekiyor. NVD kaydı 28 Ekim itibarıyla analiz bekliyor ve NVD’nin kendi puanı yok. Duyuruda istismar bilgisi yok.
Kimleri etkiler
Duyuruya göre Laravel framework’ün 12.68.0 öncesi tüm sürümleri ile 13.29.0 öncesi 13.x sürümleri etkileniyor; duyuru 12.68.0 için bir alt sınır vermiyor. Risk, API uç noktalarını TokenGuard ile koruyan ve veritabanı olarak MySQL ya da MariaDB kullanan uygulamalar için geçerli. Laravel ile geliştirilmiş müşteri portalı, mobil uygulama arka ucu ya da iç sistem API’si çalıştıran kurumların, uygulamalarının hangi koruyucuyu ve hangi veritabanını kullandığını geliştirici ekipleriyle ya da yazılım tedarikçileriyle kontrol etmesi gerekiyor.
Üretici ne öneriyor
Laravel’in düzeltilmiş sürümleri 12.68.0 ve 13.29.0. Uygulamaların bağımlılıklarının bu sürümlere ya da sonrasına güncellenmesi, ardından uygulamanın yeniden dağıtılması gerekiyor.
Duyurunun tamamı yan sütundaki bağlantıda; düzeltme sürüm notları 12.68.0 ve 13.29.0 sayfalarında.
