github advisory 2026-10-23 发布该公告并评级 critical：laravel 内置 tokenguard 在配置为标准 token-based api guard 时，攻击者可提交特制的非字符串凭据值；在 mysql/mariadb 等特定数据库配置下，认证查询会误处理该值，从而无需知晓有效 api token 即可以任意已有用户身份通过认证。cwe-287 / cwe-1287。nvd rest api 记录 cve-2026-114509 于 2026-10-21 发布、状态 awaiting analysis、cvss v4.0 9.2 critical；osv 与 packagist 安全公告 api 均以 ghsa-f9x3-7vq9-cph6 收录。
关键信息一览
- 情报类目：安全漏洞（重要级别：紧急）
- 发布日期：2026-10-23 核验状态：双源交叉核实
- 关联编号：CVE-2026-114509 / GHSA-f9x3-7vq9-cph6 / PKSA-b41t-wbzk-9q51
- 影响范围：laravel/framework =13.0.0
- 来源机构：GitHub Advisory Database / Packagist 安全公告 API（官方一手）
建议动作
laravel/framework 立即升级至 12.68.0 或 13.29.0；排查使用 TokenGuard 标准 token API guard 且后端为 MySQL/MariaDB 的服务；引用前回 GitHub Advisory 原文与 NVD 记录二次确认
来源
本文依据官方及权威渠道信息整理，原始出处：https://www.php.cn/link/858c817485ca8af5f545731a39ac3c17
