Laravel : opération destructive possible via une inclusion de relation

Veille sécuritéBackend & données

P4Moyenne

Une inclusion de relation construite spécialement sur certains points d’accès en lecture peut déclencher une opération destructive sur une table liée, alors que la requête devrait seulement lire des données. Un utilisateur disposant uniquement d’un accès en lecture peut ainsi provoquer une perte de données ; les versions corrigées indiquées sont 12.68.0 et 13.27.0.

IdentifiantCVE-2026-114508

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif12.68.0 et 13.27.0

Source : Fiche NVD — CVE-2026-114508

Analyse technique

Le traitement de certaines inclusions de relations dans un endpoint en lecture peut exécuter une opération de base de données destructive sur la table associée.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-21 à 22:16:49Z, soit le 2026-10-22 à 00:16:49+02:00, dans la période demandée. L’avis GitHub confirme la faille, les versions concernées et les corrections.

ImpactPerte irréversible de données, déni de service et atteinte à l’intégrité des données.

Versions affectéesLaravel 12.45.0 à 12.67.x et Laravel 13.0.0 à 13.26.x.

Version corrigée12.68.0 et 13.27.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,31% · percentile 22,2%

Publication2026-10-22

Mise à jour2026-10-23T22:16:57.220Z

Détection / vérification

Examiner les points d’accès en lecture qui acceptent l’inclusion de relations et vérifier qu’ils ne déclenchent pas d’opérations destructrices sur les tables liées.

Action recommandée

Mettre à jour vers Laravel 12.68.0 ou ultérieur, ou 13.27.0 ou ultérieur.

Sources

Fiche NVD — CVE-2026-114508

Priorisation DFS : P4 · 1 source(s).