Aktywnie wykorzystywana w atakach

Laravel Deserialization of Untrusted Data Vulnerability

Laravel - Laravel Framework · Figuruje w katalogu CISA KEV od 2024-01-16. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

CVE-2018-15133

WysokieCVSS 8.1KEV

Opublikowano: 09/08/2018(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

W Laravel Framework do wersji 5.5.40 oraz 5.6.x do 5.6.29 może wystąpić zdalne wykonanie kodu w wyniku wywołania unserialize na potencjalnie niezaufanej wartości X-XSRF-TOKEN. Dotyczy to metody decrypt w Illuminate/Encryption/Encrypter.php oraz PendingBroadcast w gadgetchains/Laravel/RCE/3/chain.php w phpggc. Atakujący musi znać klucz aplikacji, co normalnie nie powinno mieć miejsca, ale może się zdarzyć, jeśli wcześniej miał uprzywilejowany dostęp lub przeprowadził skuteczny atak.

Ocena ryzyka

Jeśli klucz aplikacji wycieknie, atakujący może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia aplikacji i danych.

Rekomendacja

Należy zaktualizować Laravel do wersji 5.5.41 lub 5.6.30 bądź nowszej oraz chronić klucz aplikacji i rotować go w razie podejrzenia kompromitacji.

Inne podatności w Laravel Framework

CVE-2017-16894Wysokie
W frameworku Laravel do wersji 5.5.21, zdalni atakujący mogą uzyskać dostęp do wrażliwych informacji, takich jak hasła, poprzez bezpośrednie żądanie do URI /.env. Problem dotyczy funkcji writeNewEnvironmentFileWith, która nie ogranicza uprawnień pliku .env.

Oryginalny opis (angielski, źródło NVD)

In Laravel Framework through 5.5.40 and 5.6.x through 5.6.29, remote code execution might occur as a result of an unserialize call on a potentially untrusted X-XSRF-TOKEN value. This involves the decrypt method in Illuminate/Encryption/Encrypter.php and PendingBroadcast in gadgetchains/Laravel/RCE/3/chain.php in phpggc. The attacker must know the application key, which normally would never occur, but could happen if the attacker previously had privileged access or successfully accomplished a previous attack.