PT-2025-23138 · Laravel · Laravel Rest Api
Gautierdeleau
·
Publicado
2025-05-27
·
Atualizado
2025-05-30
·
CVE-2025-48490
CVSS v4.0
6.6
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:U |
Nome do Software Vulnerável e Versões Afetadas
Versões do Laravel Rest Api anteriores à 2.13.0
Descrição
Foi descoberta uma vulnerabilidade de bypass de validação na qual múltiplas validações definidas para o mesmo atributo poderiam ser silenciosamente sobrescritas. Isso ocorre devido à maneira como o framework mescla regras de validação em vários contextos, como as ações index, store e update. Atores maliciosos podem explorar esse comportamento elaborando requisições que contornam as regras de validação esperadas, potencialmente injetando parâmetros inesperados ou perigosos na aplicação. Isso pode levar à aceitação ou processamento de dados não autorizados pela API, dependendo do contexto em que a validação foi contornada.
Recomendações
Para versões anteriores à 2.13.0, atualize para a versão 2.13.0 para resolver o problema. Como medida paliativa temporária, considere revisar e mesclar manualmente as regras de validação para prevenir sobrescritas silenciosas até que o patch possa ser aplicado. Restrinja o acesso a endpoints sensíveis da API para minimizar o risco de exploração. Evite usar regras de validação sobrepostas para o mesmo atributo em diferentes contextos até que o problema seja resolvido.
Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Laravel Rest Api