PT-2026-31663 · Unknown+1 · League/Oauth2-Server+1

Mohzubiri · Publicado 2026-04-08 · Atualizado 2026-04-09 · CVE-2026-39976

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N

Name of the Vulnerable Software and Affected Versions Laravel Passport versões 13.0.0 até 13.7.0

Description Laravel Passport, que fornece suporte ao servidor OAuth2 para Laravel, contém uma falha de bypass de autenticação para tokens client credentials. A biblioteca league/oauth2-server define a declaração JWT sub para o identificador do cliente. O guardião de token então usa este valor com a função retrieveById() sem verificar se corresponde a um identificador de usuário, autenticando potencialmente como um usuário real. Isso permite que qualquer token de máquina para máquina se autentique como um usuário.

Recommendations Atualize para a versão 13.7.1 ou posterior do Laravel Passport.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

BDU:2026-05283

CVE-2026-39976

GHSA-349C-2H2F-MXF6

Produtos afetados

Laravel Passport

League/Oauth2-Server

Referências · 11

• 🔥 https://github.com/laravel/passport/issues/1900 · Exploit
• https://github.com/thephpleague/oauth2-server/issues/1456#issuecomment-2734989996 · Correção
• https://github.com/laravel/passport/pull/1902 · Correção
• https://github.com/laravel/passport/pull/1901 · Correção
• https://github.com/laravel/passport/security/advisories/GHSA-349c-2h2f-mxf6 · Aviso do Fabricante
• https://github.com/laravel/passport · Nota
• https://bdu.fstec.ru/vul/2026-05283 · Nota de Segurança
• https://vuldb.com/ru/vuln/356633 · Nota
• https://twitter.com/CVEnew/status/2042302789616091390 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-349c-2h2f-mxf6 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39976 · Nota de Segurança