Laravel TokenGuard'daki kritik açık, herhangi bir API kullanıcısı olarak oturum açtırıyor

En yaygın PHP web çatılarından Laravel, yerleşik token tabanlı API korumasında (guard) kimlik doğrulama atlatmaya yol açan bir açık için kritik güvenlik duyurusu yayımladı. CVE-2026-114509 koduyla izlenen ve CVSS v4 ölçeğinde 9.2 puan alan açık, GitHub'da 19 Ekim'de yayımlanan duyuruya göre kimliği doğrulanmamış bir saldırganın, API token'ını bilmeden mevcut herhangi bir kullanıcı olarak oturum açmasına imkân veriyor. The Hacker News de açığı 22 Ekim tarihli haber derlemesinde öne çıkardı.

Neler oldu?

"Token-based API guard Auth Bypass" başlıklı duyuruya (GHSA-f9x3-7vq9-cph6) göre Laravel'in TokenGuard bileşeni, standart token tabanlı API koruması olarak yapılandırıldığında atlatılabiliyor. Proje açığı kritik olarak sınıflandırıyor ve bildirimi KIKOmanasijev kullanıcı adlı araştırmacıya atfediyor.

Duyuruda, saldırganın etkilenen korumanın altındaki rotalarda herhangi bir hesabı ele geçirebileceği belirtiliyor. CVSS vektörü, saldırının ağ üzerinden, hiçbir yetki ve kullanıcı etkileşimi gerektirmeden yapılabildiğini ve gizlilik, bütünlük ile erişilebilirlik üzerinde yüksek etki yarattığını gösteriyor.

Teknik detaylar

Duyuruya göre MySQL veya MariaDB kullanılan sistemlerde saldırgan, özel olarak hazırlanmış ve metin (string) olmayan bir kimlik bilgisi değeri gönderebiliyor. Kimlik doğrulama sorgusu bu değeri hatalı işlediği için sorgu başarısız olmak yerine istenmeyen bir kullanıcı kaydıyla eşleşiyor. Sonuçta saldırgan, mevcut bir kullanıcı olarak kimliği doğrulanmış hâle geliyor.

Açık, laravel/framework paketinin 13.29.0 ve 12.68.0 öncesindeki sürümlerini etkiliyor; düzeltme bu sürümlerde yer alıyor. Duyuruda herhangi bir geçici çözüm listelenmiyor ve CWE ataması bulunmuyor. The Hacker News de düzeltmenin 13.29.0 ve 12.68.0 sürümlerinde olduğunu aktardı. İki kaynakta da açığın aktif olarak istismar edildiğine dair bir bilgi yer almıyor.

Kimler etkileniyor?

Duyuruya göre şu koşulların tamamını taşıyan uygulamalar risk altında:

• Laravel'in standart token tabanlı API korumasını (TokenGuard) kullanan uygulamalar,
• Kullanıcı verilerini MySQL veya MariaDB üzerinde tutanlar,
• Yamalı sürümlerden eski bir laravel/framework sürümü çalıştıranlar.

Duyuru yalnızca çatının yerleşik TokenGuard bileşenine ilişkin; API'lerinde bu korumayı kullanmayan uygulamalar etkilenenler arasında sayılmıyor.

Ne yapmalı?

• laravel/framework paketini 13.29.0 veya 12.68.0 ya da daha yeni bir sürüme yükseltin. composer.json içindeki sürüm kısıtları güncellemeyi engelleyebileceğinden, kurulu sürümü composer show laravel/framework komutuyla doğrulayın.
• config/auth.php dosyasında token sürücüsünü kullanan korumaları belirleyin.
• Geçici çözüm sunulmadığından, token korumasına dayanan ve internete açık API'leri öncelikli olarak güncelleyin.
• Güncellemenin ardından token korumalı rotalardaki kimlik doğrulama ve erişim kayıtlarını beklenmedik oturumlar açısından inceleyin.