Laravel Framework: Authentifizierungsumgehung in TokenGuard über Nicht-String-Tokens

Zusammenfassung

Der API-Authentifizierungs-Guard TokenGuard im Laravel Framework akzeptiert manipulierte Nicht-String-Credentials, ohne sie abzulehnen. Bei betroffenen MySQL- oder MariaDB-Konfigurationen kann die Benutzersuche einen unbeabsichtigten, bestehenden Benutzer treffen. Ein nicht authentifizierter Angreifer aus dem Netz kann so die Authentifizierung umgehen und Konten auf Routen übernehmen, die durch TokenGuard geschützt sind. Nur Anwendungen, die den Token-Guard verwenden, sind betroffen; Sanctum und Passport sind in dieser Warnung nicht erfasst.

Betroffen

• laravel/framework unterhalb 12.68.0
• laravel/framework 13.0.0 bis unterhalb 13.29.0
• Laravel 11 und älter: unklar, die Herstellerwarnung nennt keine Korrektur für 11.x; 11.x erhält keine Sicherheitsupdates mehr und muss aktualisiert werden

Behoben in

• laravel/framework 12.68.0
• laravel/framework 13.29.0

Umgehung

• Es gibt keine offizielle Workaround-Lösung; das Aktualisieren ist die Korrektur.
• Eine inoffizielle, nicht verifizierte Prüfung auf Request-Ebene wurde öffentlich beschrieben; falls sie verwendet wird, nach dem Aktualisieren entfernen.

Ausnutzung

• Laut Stand 24. Okt 2026 nicht im CISA-KEV-Katalog; keine bestätigten Angriffe gemeldet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein öffentlicher Proof of Concept soll existieren; wir haben ihn nicht verifiziert.
• EPSS-Score im 33. Perzentil.

Unsere Empfehlung

• Priorität: kritisch, sofort patchen.
• Alle Laravel-Installationen inklusive transitiver Abhängigkeiten über composer.lock und composer audit ermitteln.
• Auf 12.68.0, 13.29.0 oder neuer aktualisieren; Installationen von 11.x oder älter ersetzen.
• Prüfen, ob der Token-Guard mit MySQL oder MariaDB verwendet wird, und Logs seit dem 19. Okt 2026 auf Token-Parameter prüfen, die keine einfachen Strings sind, etwa Arrays oder JSON-Objekte; Treffer als mögliche Kompromittierung behandeln.
• Falls sich die Aktualisierung verzögert, die betroffenen APIs auf vertrauenswürdige Netze beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (7 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  hakaioffsec/CVE-2026-114509-PoC · tajulasri/-CVE-2026-114509-POC · dimasma0305/CVE-2026-114509 · ArioVeisa/cve-2026-114509-laravel-tokenguard · Nxploited/CVE-2026-114509

Quellen der Recherche

• GitHub Security Advisory GHSA-f9x3-7vq9-cph6 github.com
• Fix commit 8dbb08b github.com
• Fix commit 9b21ce0 github.com
• Laravel release v12.68.0 github.com
• Laravel release v13.29.0 github.com
• GitHub Advisory Database GHSA-f9x3-7vq9-cph6 github.com
• Brandefense CVE-2026-114509 brandefense.io
• GitLab Advisory CVE-2026-114509 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:06.