Laravel verhelpt databeschadigingsbug en kritieke authenticatie-bypass in TokenGuard

Wat is er gebeurd

Er zijn twee afzonderlijke kwetsbaarheden vastgesteld in laravel/framework. CVE-2026-114508 (GHSA-5wcm-3v2w-8362) beschrijft een situatie waarin een bewust samengestelde relatie-inclusie op een alleen-lezen endpoint een destructieve databaseactie op een gerelateerde tabel kan veroorzaken in plaats van data op te halen, in tegenstelling tot het verwachte leesgedrag. CVE-2026-114509 (GHSA-f9x3-7vq9-cph6) beschrijft een situatie waarin TokenGuard, wanneer geconfigureerd als standaard token-gebaseerde API-guard, een bewust samengestelde niet-string credential niet afwijst. Onder bepaalde MySQL- of MariaDB-configuraties kan dit ertoe leiden dat de authenticatiecontrole een onbedoelde, bestaande gebruiker matcht.

Technische oorzaak

CVE-2026-114508 valt onder CWE-470 (gebruik van extern controleerbare input om classes of code te selecteren / onveilige reflectie): input die relatie-inclusie bepaalt, wordt niet voldoende gevalideerd voordat deze wordt gebruikt in een destructieve databaseactie. CVE-2026-114509 valt onder CWE-287 (onjuiste authenticatie); TokenGuard controleert niet of de aangeleverde credential een string is, en door bepaald type-conversiegedrag in MySQL of MariaDB kan een niet-string credential tijdens de authenticatiecontrole overeenkomen met een onbedoeld gebruikersrecord.

Waarom dit belangrijk is

CVE-2026-114508 stelt een gebruiker met alleen leesrechten, zonder schrijfrechten, in staat om onomkeerbaar dataverlies te veroorzaken op gerelateerde tabellen, met denial of service en verlies van data-integriteit tot gevolg. CVE-2026-114509 is ernstiger: het stelt een niet-geauthenticeerde aanvaller in staat om authenticatie volledig te omzeilen en een account over te nemen op routes die door TokenGuard worden beschermd, mits de kwetsbare databaseconfiguratie wordt gebruikt. Dit kan leiden tot volledige accountovername zonder dat er vooraf inloggegevens nodig zijn.

Wie wordt getroffen

Applicaties die laravel/framework gebruiken en alleen-lezen endpoints met ondersteuning voor relatie-inclusie aanbieden, zijn kwetsbaar voor CVE-2026-114508. Applicaties die TokenGuard gebruiken als standaard token-gebaseerde API-guard en draaien op MySQL- of MariaDB-configuraties die gevoelig zijn voor het beschreven type-conversiegedrag, zijn kwetsbaar voor CVE-2026-114509. Niet elke implementatie gebruikt TokenGuard of de getroffen databaseconfiguraties, dus de toepasbaarheid moet per applicatie worden gecontroleerd.

Getroffen versies

CVE-2026-114508 treft laravel/framework vanaf versie 12.45.0 tot 12.68.0, en versie 13.27.0, waarbij de fix is uitgebracht in 12.68.0 en 13.27.0. CVE-2026-114509 treft laravel/framework vóór versie 12.68.0 en 13.29.0, waarbij de fix is uitgebracht in 12.68.0 en 13.29.0. Opvallend is dat de bronadviezen de 13.x-reeks iets verschillend weergeven (sommige noemen '0' als introductieversie, andere '13.0.0'); de gerepareerde versies komen in alle bronnen overeen.

Fixes en mitigatie

Beide problemen zijn verholpen door het Laravel-project. CVE-2026-114508 is opgelost in de versies 12.68.0 en 13.27.0. CVE-2026-114509 is opgelost in de versies 12.68.0 en 13.29.0. Applicaties dienen te upgraden naar de gerepareerde versie die past bij hun Laravel-releaselijn.

Aanbevolen actie

Sitebeheerders en ontwikkelaars die laravel/framework gebruiken, wordt aangeraden zo snel mogelijk te upgraden naar de gerepareerde versies: 12.68.0 of 13.27.0 voor CVE-2026-114508, en 12.68.0 of 13.29.0 voor CVE-2026-114509. Omdat CVE-2026-114509 niet-geauthenticeerde accountovername mogelijk maakt onder bepaalde databaseconfiguraties, verdient deze update prioriteit bij applicaties die TokenGuard gebruiken met MySQL of MariaDB.