github advisory 2026-09-29 发布并评级 low（cvss v3.1 3.1，cwe-80）：app_debug=true 时，攻击者可控输入被传入配置了 allowhtml: true 的 tippy.js tooltip，鼠标悬停即可触发 dom 型 xss。packagist 安全公告 api 同日收录（pksa-d5tc-s1qs-h781），公告列出修复版 12.69.0 / 13.30.0。
关键信息一览
- 情报类目：安全漏洞（重要级别：常规）
- 发布日期：2026-09-29 核验状态：双源交叉核实
- 关联编号：CVE-2026-102279 / GHSA-jh5r-qr3c-85q8 / PKSA-d5tc-s1qs-h781
- 影响范围：laravel/framework =13.0.0
- 来源机构：GitHub Advisory Database / Packagist 安全公告 API（官方一手）
建议动作
生产环境关闭 APP_DEBUG；升级至 12.69.0 / 13.30.0；低危项随常规依赖升级处理
Laravel Cloud
下载
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
来源
本文依据官方及权威渠道信息整理，原始出处：https://www.php.cn/link/271b32e5d846c43589a82c0b745f9c38
