Laravelに不適切な認証の脆弱性（CVE-2026-114509）
概要
Laravelに不適切な認証の脆弱性が確認されました。
バージョン 13.0.0 以上 13.29.0 未満、12.68.0 未満に影響があります。
修正版 13.29.0 / 12.68.0 への更新が推奨されます。
脆弱性の基本情報
| 脆弱性ID |
CVE-2026-114509 GHSA-f9x3-7vq9-cph6 |
|---|---|
| 脆弱性の種類 | 不適切な認証 |
| 危険度 | 重大 |
| 公開日 | 2026年10月23日 |
影響を受ける製品
| 製品 | 影響を受けるバージョン | 修正版 | 出典 |
|---|---|---|---|
| Laravel |
13.0.0 以上 13.29.0 未満、12.68.0 未満 | 13.29.0 / 12.68.0 | OSV.dev |
推奨対応
- Laravelを、ご利用中の系列に対応する修正版（13.29.0 / 12.68.0）またはそれ以降の公式最新版へ更新してください。
情報元の原文
OSV.dev
Laravel TokenGuard authentication bypass through non-string API credentials
Laravel's built-in TokenGuard, **when configured with a standard token-based API guard**, may be bypassed to authenticate as an arbitrary existing user without knowledge of their valid API token.
**Under certain database configurations (MySQL/MariaDB)** an attacker can submit a specially crafted, non-string credential value that is mishandled during the authentication lookup, causing the underlying query to match an unintended user record rather than failing authentication as expected.
### Impact
An unauthenticated attacker may authenticate as another user without possessing that user's API token, leading to authentication bypass and account takeover on any route protected by the affected guard.
利用条件：CC BY 4.0
出典: GitHub Advisory Database（OSV.dev 経由で取得）。原文のまま掲載（改変なし）