CVE-2026-55250

Asılılıqların injeksiyasına yönəlmiş PHP freymvorku olan Maravel, 10.74.0 versiyasından əvvəlki versiyalarda vəziyyətsiz (stateless) token təsdiqləmə mühərrikləri ilə yüksək performanslı relyasiya keşləmə təbəqələri arasındakı struktur həyat dövrü uyğunsuzluğundan qaynaqlanan yüksək dərəcəli Token Replay zəifliyinə malikdir. Yaddaşı boşaltmaq üçün vaxtından əvvəl silinməyə səbəb olan aşağı keş yaddaşına malik hər hansı tətbiq, həmçinin API token autentifikasiyası və qara siyahının idarə edilməsi üçün tymon/jwt-auth və ya eyni funksiyanı yerinə yetirən digər paketlərdən istifadə edən macropay-solutions/maravel-framework tətbiqləri bundan təsirlənə bilər. Bu memarlıq riski, müəyyən uçuculuğu olan və ya silinmə limiti tətbiq edilmiş mühitlərdə keş teqlərindən (cache tags) istifadə edən yerli Laravel tətbiqlərinə də təsir göstərə bilər. tymon/jwt-auth avtomatik olaraq keş teqi dəstəyini yoxlayır. Dəstək tapıldıqda, o, 14 günlük token qara siyahı yazılarını (jti) məcburi şəkildə relyasiya tymon.jwt teqi daxilinə yerləşdirir. O(1) Atomic Lazy Eviction modelinin aktiv olduğu mühitlərdə — istər Maravel-Framework v20.x daxilində yerli olaraq, istərsə də PR #104-də təmin edilən açıq DI konteyner singleton-ları vasitəsilə v10.x-ə əllə köçürülmüş halda (App\Cache\TaggedCache və App\Cache\TagSet) — sistemin yaddaş indeksinin şişməsinə qarşı qorunması üçün 7,200 saniyəlik (2 saat) ciddi qlobal izləmə tavanı (Container::TAGGED_CACHE_TTL_CAP_SECONDS) tətbiq edilir. Bu tavan 14 günlük qara siyahı ömrünü məcburi şəkildə maksimum 2 saata qədər qısaldır, bundan sonra fərdi izləmə açarları təbii şəkildə başa çatır və aktiv keş pəncərəsindən yox olur. Bundan əlavə, optimallaşdırılmış mühərrik O(1) təmizləmə sürətinə nail olmaq üçün nəsil versiya matrisini tətbiq etdiyindən, teqin proqram təminatı və ya əllə təmizlənməsi və ya sıfırlanması (məsələn, Cache::tags([...])->flush()) daxili atomik master versiya göstəricisini dərhal artırır. Bu, bütün üst-üstə düşən komponentlər üçün hesablanmış kriptoqrafik kompozit heşi (sha1($this->tags->getNamespace())) dəyişdirir və mövcud indeksin tamamını dərhal əlçatmaz edir. Nəticədə, istər təbii 2 saatlıq vaxtın bitməsi, istərsə də aralıq teq təmizləmə prosesi (keşin yaddaşı boşaltmaq üçün köhnə dəyərləri təbii şəkildə təmizləməsi kimi) vasitəsilə etibarsızlaşdırma vəziyyəti qeydləri tamamilə silinir. Tokenlərin fiziki kriptoqrafik imzaları 14 günə qədər struktur cəhətdən etibarlı qaldığı üçün oğurlanmış, ələ keçirilmiş və ya qanuni şəkildə çıxış etmiş (logged-out) tokenlər bütün API şlüzündə dərhal və səssiz şəkildə yenidən aktivləşir ki, bu da tətbiqi genişmiqyaslı Token Replay hücumlarına qarşı kritik dərəcədə həssas edir. Bu problem freymvorkun daxili defektindən daha çox tymon/jwt-auth paketindəki yuxarı səviyyəli memarlıq fərziyyətindən qaynaqlandığı üçün, biznes keş dövriyyəsi sərhədlərini pozmadan bu həyat dövrü toqquşmasını təhlükəsiz şəkildə aradan qaldıran birbaşa freymvork versiya yeniləməsi yoxdur. Maravel versiya 10.74.0, TagSet və TaggedCache-ni DI-dan həll etməklə yeni düzəldilmiş teqli keşi 20.x-dən 10.x-ə köçürmək üsulunu təqdim etmişdir və bu gizli memarlıq həyat dövrü zəifliyi məhz belə aşkar edilmişdir. İstifadəçilər aşağıda qeyd olunan ayrılmış konfiqurasiya həllini tətbiq etməlidirlər. Müvəqqəti həll yolu kimi, keş yaddaşının ölçüsünün yaddaşı boşaltmaq üçün keşdən erkən təbii silinmələr yaratmadığından və qara siyahıya alınmış jwt ID-lərini vaxtı bitməzdən əvvəl silmədiyindən əmin olun. Tətbiqlər düz autentifikasiya vektorlarını relyasiya teqləmə alt sistemindən ayırmalıdırlar. Bu, token identifikatorlarının birbaşa əsas keş sahəsinə tegsiz açar-dəyər cütlükləri kimi yazılmasını təmin edir və burada onlar kəsilməmiş 14 günlük həyat dövrünü təhlükəsiz şəkildə saxlayırlar.