CVE-2026-114509criticalexplotación observadaCWE-1287CWE-287

CVE-2026-114509: fallo crítico en laravel framework

Laravel TokenGuard authentication bypass through non-string API credentials

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear framework+ Monitorear laravel/framework

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

70Vexday Risk Score

Prioriza la corrección. Ella explotación observada por VulnCheck y tiene prueba de concepto pública.

ssvc Actcvss 9.2epss 0.8%
de la publicación al armael mismo día
Publicada en NVD21 oct
1ª PoC20 oct
VulnCheck+6d
Laravel is a web application framework. Prior to 12.68.0 and 13.29.0, TokenGuard configured as a standard token-based API guard does not reject a crafted non-string credential. Under affected MySQL or MariaDB configurations, the authentication lookup can match an unintended existing user, allowing an unauthenticated attacker to bypass authentication and take over an account on routes protected by TokenGuard. This issue is fixed in versions 12.68.0 and 13.29.0.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
laravel · framework
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — laravel framework

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-52301HIGHLaravel allows environment manipulation via query stringEPSS 44.8%CVE-2021-21263HIGHQuery Binding Exploitation in LaravelEPSS 1.6%CVE-2021-43808MEDIUMBlade `@parent` Exploitation Leading To Possible XSS in LaravelEPSS 0.8%CVE-2025-27515MEDIUMLaravel has a File Validation BypassEPSS 0.7%CVE-2026-48019HIGHCRLF injection in Laravel's default email rule enables SMTP smuggling and spoofed-mail relayEPSS 0.5%CVE-2026-114508MEDIUMLaravel relationship inclusion can trigger unauthorized data destructionEPSS 0.4%