CVE-2026-61701
Təsvir
Laravel MagicLink şifrəsiz autentifikasiya və ya şəxsi məzmunlara giriş üçün keçidlər yaradır. Versiya 2.0.0-dan 2.25.1-ə qədər MagicLink, seriyalaşdırılmış action obyektlərini verilənlər bazasının magic_links.action sütununda saxlayır və onları kifayət qədər bütövlük mühafizəsi olmadan src/MagicLink.php və src/Actions/ResponseAction.php vasitəsilə deseriyalaşdırır, bu zaman təhlükəli köhnə unserialize() fallback funksiyası əlçatan qalır. Ayrı bir SQL injection və ya kompromisə uğramış inzibati giriş vasitəsilə verilənlər bazası qeydlərini manipulyasiya edə bilən hücumçu, icra oluna bilən closure davranışı ehtiva edən zərərli seriyalaşdırılmış obyekt qrafikini daxil edə bilər; müvafiq magic link-ə daxil olduqda qeyd deseriyalaşdırılır və tətbiq prosesində ixtiyari kodun icrasına səbəb ola bilər. Təsirə məruz qalan yol yalnız manipulyasiya edilmiş action qeydləri ilə məhdudlaşır və müstəqil şəkildə verilənlər bazasına yazı girişini təmin etmir. Bu problem 2.25.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- cesargb/laravel-magiclink2.25.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cesargb/laravel-magiclinkPackagist | 2.0.0 ≤ v < 2.25.1 | 2.25.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.