CVE-2026-102279

NiskieCVSS 3.1

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W frameworku Laravel przed wersjami 12.69.0 i 13.30.0 strony debugowania wyjątków przy włączonym APP_DEBUG przekazują dane kontrolowane przez atakującego do podpowiedzi Tippy.js skonfigurowanej z allowHTML=true. Umożliwia to atak DOM-based cross-site scripting, gdy użytkownik najedzie kursorem na podpowiedź.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co grozi kradzieżą sesji lub danych. Ryzyko występuje tylko przy włączonym trybie debugowania (APP_DEBUG=true), który nie powinien być aktywny na produkcji.

Rekomendacja

Zaktualizuj Laravel do wersji 12.69.0 lub 13.30.0. Upewnij się, że na środowiskach produkcyjnych APP_DEBUG jest wyłączone.

Inne podatności w Laravel

CVE-2026-48019Wysokie
Laravel przed wersjami 12.60.0 i 13.10.0 zawiera podatność na wstrzyknięcie CRLF w walidacji adresów e-mail, która w połączeniu z obsługą sekwencji znaków przez Symfony Mailer i Symfony Mime może pozwolić nieuwierzytelnionemu atakującemu na ingerencję w wysyłkę wiadomości e-mail w aplikacjach wysyłających maile na adresy podane przez użytkownika. Problem naprawiono w wersjach 12.60.0 i 13.10.0.

Oryginalny opis (angielski, źródło NVD)

Laravel is a web application framework. Prior to 12.69.0 and 13.30.0, Laravel exception debug pages with APP_DEBUG=true pass attacker-controlled input to a Tippy.js tooltip configured with allowHTML true, enabling DOM-based cross-site scripting when a user hovers over the tooltip. This issue is fixed in versions 12.69.0 and 13.30.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS