CVE-2026-114508
Publiée le 2026-10-21 · Dernière modification le 2026-10-23
Les versions 12.45.0 à 12.67.0 ainsi que la version 13.26.0 et les versions antérieures de Laravel sont concernées. Ce framework PHP est utilisé pour construire des applications web et gérer les relations entre les bases de données. La faille survient lorsqu'une requête spécifiquement conçue est envoyée à un point de terminaison en lecture seule, déclenchant une opération de base de données destructive au lieu d'une simple récupération de données.
Un attaquant peut utiliser cette faille pour vider des tables de données liées, entraînant une perte d'intégrité et de disponibilité des données. Cette action est relativement facile à réaliser car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être exécutée à distance via le réseau. Aucune donnée confidentielle n'est divulguée, mais la perte de données qui en résulte peut provoquer un déni de service.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Laravel is a web application framework. From 12.45.0 until 12.68.0 and 13.27.0, crafted relationship inclusion on a read-only endpoint can trigger a destructive database operation on a related table instead of retrieving data. A user with read access but no write permission can empty related-table data, causing irreversible data loss, denial of service, and loss of data integrity. This issue is fixed in versions 12.68.0 and 13.27.0.