Veille sécuritéBackend & données
P2Critique
Un identifiant d’authentification non textuel spécialement construit peut contourner l’authentification de TokenGuard sur certaines configurations MySQL ou MariaDB, et permettre une prise de contrôle de compte sans authentification. Un avis du CERT italien daté du 22 octobre signale la disponibilité d’une preuve de concept ; cela ne confirme pas une exploitation réelle.
Laravel
IdentifiantCVE-2026-114509
GravitéCritique
Exploitationrapportée, à confirmer
Correctif12.68.0 et 13.29.0
Source : Fiche NVD — CVE-2026-114509
Analyse technique
Le défaut concerne TokenGuard configuré comme garde API à jeton standard. L’impact dépend notamment de la configuration de la base MySQL ou MariaDB.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-21 à 22:16:49Z, soit le 2026-10-22 à 00:16:49+02:00, dans la période demandée. La mise à jour NVD du 2026-10-22 est dans la période, mais n’est pas retenue à elle seule comme preuve d’une nouvelle faille ; l’avis du CERT italien signalant une preuve de concept est également daté du 2026-10-22.
ImpactContournement d’authentification et prise de contrôle de compte dans les configurations concernées.
Versions affectéesVersions antérieures à 12.68.0 et, pour la branche 13.x, antérieures à 13.29.0.
Version corrigée12.68.0 et 13.29.0
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS9.2 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
EPSS0,40% · percentile 33,4%
Publication2026-10-22
Mise à jour2026-10-22T17:29:28.470Z
Détection / vérification
Vérifier si TokenGuard est configuré comme garde API et si des routes l’utilisent, notamment avec MySQL ou MariaDB.
Action recommandée
Mettre à jour vers Laravel 12.68.0 ou ultérieur, ou 13.29.0 ou ultérieur. Vérifier les gardes TokenGuard et les routes qui en dépendent.
Sources
Priorisation DFS : P2 · 1 source(s).