Het populaire PHP-framework Laravel heeft een kritiek authenticatielek in zijn TokenGuard-component verholpen. De kwetsbaarheid, geregistreerd als CVE-2026-114509 met een CVSS-score van 9,2, stelt een aanvaller in staat om een speciaal opgebouwde, niet-stringwaarde als authenticatietoken aan te bieden en daarmee de authenticatie te omzeilen.
Op applicaties die TokenGuard combineren met een MySQL- of MariaDB-database kan een aanvaller hierdoor inloggen als een andere gebruiker, zonder het juiste wachtwoord of token te kennen. Hoe groot de praktische impact is, hangt af van welke rechten de geïmiteerde gebruiker heeft: bij een beheerdersaccount kan dit uitlopen op volledige overname van de applicatie.
Laravel heeft het lek verholpen in de versies 13.29.0 en 12.68.0. Omdat TokenGuard veel wordt gebruikt voor API-authenticatie in Laravel-applicaties, is de kans groot dat ook Nederlandse maatwerksoftware en SaaS-platforms op basis van Laravel met MySQL of MariaDB dit patroon gebruiken.
Beheerders van Laravel-applicaties wordt aangeraden op korte termijn te controleren welke Laravel-versie en welke guard-configuratie in gebruik is, en zo nodig direct te updaten naar 13.29.0 of 12.68.0. Gezien de ernst en het gemak waarmee dit lek te misbruiken is, is dit geen patch om op de lange baan te schuiven.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.