Le journal DFS
Laravel
-
Vulnérabilité dans Laravel — exécution de code à distance
P4 — Le CERT-FR signale une vulnérabilité dans Laravel permettant une exécution de code arbitraire à distance. Les sources consultées ne permettent pas d’établir les versions…
-
Laravel : inclusion de relations pouvant entraîner une destruction non autorisée de données
P4 · Moyenne · CVE-2026-114508 — Dans certaines conditions, le traitement de paramètres d’inclusion de relations sur des points de terminaison en lecture seule peut déclencher…
-
Laravel : contournement d’authentification du TokenGuard avec des identifiants non textuels
P3 · Critique · CVE-2026-114509 — Le TokenGuard intégré de Laravel peut, dans certaines configurations MySQL ou MariaDB, accepter une valeur d’identifiant non textuelle et authentifier…
-
InvoiceShelf : injection SQL via orderByField
P3 · Élevée · CVE-2026-55386 — InvoiceShelf avant 2.4.0 transmet une valeur contrôlée par l’utilisateur, orderByField, à des appels Laravel orderBy sans la restreindre aux identifiants…
-
VentureDrake Laravel CRM : attribution de rôles et suppressions hors périmètre
P3 · Élevée · CVE-2026-110630 — Dans VentureDrake Laravel CRM avant 2.4.0, un utilisateur ayant accès à la gestion des utilisateurs peut attribuer des rôles non…
-
VentureDrake Laravel CRM : contournement d’autorisations via Livewire
P3 · Élevée · CVE-2026-110629 — Dans VentureDrake Laravel CRM avant 2.4.0, des utilisateurs authentifiés disposant de droits limités peuvent contourner les autorisations par rôles via…
-
Rapyd Admin : identifiants super-administrateur codés en dur
P3 · Critique · CVE-2026-109566 — Rapyd Admin contient des identifiants super-administrateur codés en dur, permettant à un attaquant distant non authentifié d’obtenir un accès privilégié.…
-
Vérification TLS désactivée dans alexpechkarev/google-maps
P3 · Critique · CVE-2026-105222 — Le paquet Laravel alexpechkarev/google-maps désactive par défaut la vérification des certificats TLS, ce qui peut permettre à un attaquant situé…
-
Filament : réauthentification par mot de passe manquante pour certaines actions de MFA par application
P4 · Moyenne · CVE-2026-104181 — Dans Filament, certaines actions de gestion de l’authentification multifacteur par application ne demandaient pas systématiquement le mot de passe actuel…
-
Divulgation de variables d’environnement dans une application Laravel configurée en mode debug
P3 · Critique · CVE-2026-102628 — La publication de CVE-2026-102628 signale que l’application Cadmos LTI exposait des variables de configuration lorsque Laravel, déployé publiquement avec le…