CVE-2026-114509 Evasión de autenticación en Laravel TokenGuard mediante credenciales de API que no son cadenas

Qué es CVE-2026-114509

En Laravel, TokenGuard configurado como guard de API por token no rechaza una credencial manipulada que no sea una cadena. En configuraciones afectadas de MySQL o MariaDB, la búsqueda de autenticación puede coincidir con otro usuario existente, lo que permite a un atacante no autenticado evadir la autenticación y tomar el control de una cuenta en rutas protegidas por TokenGuard. Se corrige en las versiones 12.68.0 y 13.29.0.

Productos y versiones afectadas

• laravel framework

  • < 12.68.0
  • >= 13.0.0, < 13.29.0

Qué hacer

1. Verificá si usás framework y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• dimasma0305/CVE-2026-114509 ↗Reproducible local Laravel lab and self-checking PoC for CVE-2026-114509PUBLICADO 24 OCT · 05:01
• ArioVeisa/cve-2026-114509-laravel-tokenguard ↗CVE-2026-114509 — Laravel TokenGuard authentication bypass (CVSS 9.2): PoC, root-cause analysis, Docker lab, and reproduction guidePUBLICADO 24 OCT · 16:44
• emirwtz/CVE-2026-114509 ↗Python detector for Laravel TokenGuard CVE-2026-114509 with local dependency analysis, remote authentication checks, and JSON reporting.PUBLICADO 24 OCT · 23:11

Calculadora CVSS

CVSS 4.0 · 9.2 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Alta

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Laravel is a web application framework. Prior to 12.68.0 and 13.29.0, TokenGuard configured as a standard token-based API guard does not reject a crafted non-string credential. Under affected MySQL or MariaDB configurations, the authentication lookup can match an unintended existing user, allowing an unauthenticated attacker to bypass authentication and take over an account on routes protected by TokenGuard. This issue is fixed in versions 12.68.0 and 13.29.0.

Referencias

• github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6X_REFSOURCE_CONFIRM
• github.com/laravel/framework/commit/8dbb08bccac1be095dba4a9d259a419620f1e8a5X_REFSOURCE_MISC
• github.com/laravel/framework/commit/9b21ce0a9bb2b2599978bc0b0df4abea952ad31cX_REFSOURCE_MISC
• github.com/laravel/framework/releases/tag/v12.68.0X_REFSOURCE_MISC
• github.com/laravel/framework/releases/tag/v13.29.0X_REFSOURCE_MISC

Historial de la alerta

1. 24 OCT · 05:01EXPLOIT PÚBLICO Se publicó el repositorio dimasma0305/CVE-2026-114509.
2. 24 OCT · 16:44EXPLOIT PÚBLICO Se publicó el repositorio ArioVeisa/cve-2026-114509-laravel-tokenguard.
3. 24 OCT · 23:11EXPLOIT PÚBLICO Se publicó el repositorio emirwtz/CVE-2026-114509.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.