CVE-2026-61701
Açıklama
Laravel MagicLink, şifresiz kimlik doğrulama veya özel içeriğe erişim için bağlantılar oluşturur. 2.0.0 ile 2.25.1 sürümleri arasında MagicLink, serileştirilmiş eylem nesnelerini magic_links.action veritabanı sütununda saklar ve bunları yeterli bütünlük koruması olmaksızın src/MagicLink.php ve src/Actions/ResponseAction.php üzerinden serisizleştirir; bu sırada güvenli olmayan eski bir unserialize() geri dönüş mekanizması erişilebilir kalır. Ayrı bir SQL injection veya ele geçirilmiş yönetici erişimi yoluyla veritabanı kayıtlarını manipüle edebilen bir saldırgan, yürütülebilir kapatma (closure) davranışı içeren kötü amaçlı bir serileştirilmiş nesne grafiği ekleyebilir; ilgili sihirli bağlantının ziyaret edilmesi daha sonra kaydı serisizleştirir ve uygulama sürecinde rastgele kod çalıştırabilir. Etkilenen yol, manipüle edilmiş eylem kayıtlarıyla sınırlıdır ve bağımsız olarak veritabanına yazma erişimi sağlamaz. Bu sorun 2.25.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- cesargb/laravel-magiclink2.25.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cesargb/laravel-magiclinkPackagist | 2.0.0 ≤ v < 2.25.1 | 2.25.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.