CVE-2026-48019

WysokieCVSS 8.9

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.68%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

Laravel przed wersjami 12.60.0 i 13.10.0 zawiera podatność na wstrzyknięcie CRLF w walidacji adresów e-mail, która w połączeniu z obsługą sekwencji znaków przez Symfony Mailer i Symfony Mime może pozwolić nieuwierzytelnionemu atakującemu na ingerencję w wysyłkę wiadomości e-mail w aplikacjach wysyłających maile na adresy podane przez użytkownika. Problem naprawiono w wersjach 12.60.0 i 13.10.0.

Ocena ryzyka

Atakujący może manipulować treścią lub nagłówkami wychodzących wiadomości e-mail, co może prowadzić do phishingu, rozprzestrzeniania złośliwego oprogramowania lub naruszenia reputacji organizacji. Podatność może być wykorzystana bez uwierzytelnienia.

Rekomendacja

Należy jak najszybciej zaktualizować Laravel do wersji 12.60.0 lub 13.10.0 (lub nowszej), aby wyeliminować ryzyko wstrzyknięcia CRLF.

Inne podatności w Laravel

CVE-2026-102279Niskie
W frameworku Laravel przed wersjami 12.69.0 i 13.30.0 strony debugowania wyjątków przy włączonym APP_DEBUG przekazują dane kontrolowane przez atakującego do podpowiedzi Tippy.js skonfigurowanej z allowHTML=true. Umożliwia to atak DOM-based cross-site scripting, gdy użytkownik najedzie kursorem na podpowiedź.

Oryginalny opis (angielski, źródło NVD)

Laravel is a web application framework. Prior to versions 12.60.0 and 13.10.0, a CRLF injection vulnerability in Laravel's email validation, in combination with how Symfony Mailer and Symfony Mime handle certain character sequences, may allow an unauthenticated attacker to interfere with outbound email processing in applications that send mail to user-supplied addresses. This issue has been patched in versions 12.60.0 and 13.10.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS