CVE-2026-55250

Bağımlılık enjeksiyonuna odaklanan bir PHP framework'ü olan Maravel, 10.74.0 sürümünden önce, durumsuz token doğrulama motorları ile yüksek performanslı ilişkisel önbellekleme katmanları arasındaki yapısal yaşam döngüsü uyumsuzluğundan kaynaklanan yüksek önem dereceli bir Token Replay zafiyetine sahiptir. Belleği boşaltmak için erken tahliyeye neden olan düşük önbellek belleğine sahip herhangi bir uygulama ve API token kimlik doğrulaması ile kara liste yönetimi için tymon/jwt-auth veya benzer işlevi gören başka bir paket kullanan macropay-solutions/maravel-framework uygulamaları etkilenebilir. Bu mimari risk, belirli uçucu veya tahliye sınırlı ortamlarda önbellek etiketlerini kullanan yerel Laravel uygulamalarını da etkileyebilir. tymon/jwt-auth otomatik olarak önbellek etiketi desteğini araştırır. Destek bulunduğunda, 14 günlük token kara liste girişlerini (jti) zorunlu olarak ilişkisel bir tymon.jwt etiketi içine sarar. İster Maravel-Framework v20.x içinde yerleşik olarak ister PR #104'te sağlanan açık DI konteyner singleton'ları (App\Cache\TaggedCache ve App\Cache\TagSet) aracılığıyla manuel olarak v10.x'e aktarılan O(1) Atomic Lazy Eviction modelinin aktif olduğu ortamlarda, sistemi bellek dizini şişmesine karşı korumak için 7.200 saniyelik (2 saat) katı bir küresel izleme tavanı (Container::TAGGED_CACHE_TTL_CAP_SECONDS) uygulanır. Bu tavan, 14 günlük kara liste ömrünü zorla maksimum 2 saate indirir; bu sürenin sonunda bireysel izleme anahtarları doğal olarak sona erer ve aktif önbellek penceresinden kaybolur. Ayrıca, optimize edilmiş motor O(1) temizleme hızlarına ulaşmak için nesil tabanlı bir versiyon matrisi uyguladığından, programatik veya manuel herhangi bir etiket temizleme veya sıfırlama çağrısı (örneğin, Cache::tags([...])->flush()), dahili atomik ana versiyon işaretçisini anında artırır. Bu işlem, tüm örtüşen bileşenler için hesaplanan kriptografik kompozit karma değerini (sha1($this->tags->getNamespace())) değiştirerek mevcut tüm dizini anında erişilemez hale getirir. Sonuç olarak, ya doğal 2 saatlik süre dolumuyla ya da araya giren bir etiket temizleme işlemiyle (önbelleğin bellek boşaltmak için eski değerleri doğal olarak temizlemesi gibi), geçersiz kılma durumu kayıtları tamamen silinir. Tokenların fiziksel kriptografik imzaları yapısal olarak 14 güne kadar geçerli kaldığı için çalınmış, ele geçirilmiş veya yasal olarak oturumu kapatılmış tokenlar tüm API ağ geçidi genelinde anında ve sessizce yeniden aktif hale gelir; bu da uygulamayı yaygın Token Replay saldırılarına karşı kritik düzeyde savunmasız bırakır. Bu sorun, framework içindeki temel bir kusurdan ziyade tymon/jwt-auth paketi içindeki üst akışa ait bir mimari varsayımdan kaynaklandığı için, işletme önbellek geri dönüşüm sınırlarını bozmadan bu yaşam döngüsü çakışmasını güvenli bir şekilde aşabilecek doğrudan bir framework sürüm yükseltmesi bulunmamaktadır. Maravel sürüm 10.74.0, TagSet ve TaggedCache'i DI üzerinden çözerek yeni düzeltilmiş etiketli önbelleği 20.x'ten 10.x'e aktarmanın bir yolunu sunmuştur ve bu gizli mimari yaşam döngüsü zafiyeti bu şekilde keşfedilmiştir. Kullanıcılar aşağıda belirtilen ayrıştırılmış yapılandırma geçici çözümünü uygulamalıdır. Geçici bir çözüm olarak, önbellek bellek boyutunun alan boşaltmak için önbellekten erken doğal tahliyeler oluşturmadığından ve böylece kara listeye alınmış jwt id'lerini süreleri dolmadan silmediğinden emin olun. Uygulamalar, düz kimlik doğrulama vektörlerini ilişkisel etiketleme alt sisteminden ayırmalıdır. Bu, token tanımlayıcılarının doğrudan birincil önbellek anahtar alanına düz, etiketsiz anahtar-değer çiftleri olarak yazılmasını zorunlu kılarak 14 günlük kesintisiz yaşam döngülerini güvenli bir şekilde korumalarını sağlar.