CVE-2026-53933

Asılılıqların injeksiyasına yönəlmiş PHP freymvorku olan Maravel-in 10.73.1 versiyasından əvvəlki versiyalarında yan kanal vasitəsilə məlumat sızması problemi mövcuddur. Dinamik yer tutucularla (məsələn, `/api/v1/users/{id}`) marşrut tərtib edildikdə, yer tutucu açarının xam sətir forması səhvən statik marşrut siyahısına qeyd edilirdi. Son nöqtələri (endpoints) skan edən hücumçu, statik xəritədə gözlənilməz uyğunluq yaratmaq üçün qəsdən şablon sintaksisini (məsələn, `GET /api/v1/users/{id}`) göndərə bilərdi. Dinamik ağ mühərriki bypass edildiyi üçün heç bir arqument tutulmurdu. Bu isə müasir PHP 8+ versiyalarının yerli `ArgumentCountError` xətası verməsinə səbəb olur və nəticədə standart 404 Not Found əvəzinə 500 Internal Server Error xətası yaranırdı. Hansı fuzz nümunələrinin 500 xətasına səbəb olduğunu izləyərək, bədniyyətli şəxs daxili marşrut parametr adlarını və kontroller sxemlərini proqram təminatı vasitəsilə profilizasiya edə və xəritələndirə bilərdi. Versiya 10.73.1-də düzəliş tətbiq edilmişdir. Müvəqqəti həll yolu kimi, qlobal middleware-də müdafiə yoxlamasını tətbiq etməklə bu yan kanal sızmasını aradan qaldırın. Bu, hər hansı literal mötərizə nümunələrini marşrutlaşdırıcı mühərrikə çatmamış rədd edəcəkdir.