Laravelは10月19日、フレームワーク組み込みのTokenGuardに認証を回避される欠陥があることを公開した。深刻度はCritical、CVSS 4.0で9.2。ベクトルはCVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N。修正版は12.68.0以降と13.29.0以降で、アドバイザリはそれぞれ未満を影響範囲として示している。
対象は、標準のトークン型APIガードとしてTokenGuardを使っている構成だ。データベースがMySQLまたはMariaDBの特定の設定であるとき、認証のない攻撃者が文字列ではない細工した資格情報を送ると、照合クエリが意図しない既存ユーザーに一致する。そのユーザーのAPIトークンを持っていなくても、そのガードで守られたルートへ入れる。アドバイザリは、これを認証回避とアカウントの乗っ取りと説明している。攻撃が成立する前提条件があるため、CVSSのAttack RequirementsはPresentだ。
APIトークンで守っているルートが残っているプロジェクトは、依存の版を12.68.0または13.29.0以降へ上げる。トークンガードを外したつもりでも、古いルート定義が残っていないかをあわせて確認する。