CVE-2026-114508

Mở trang đầy đủ

CVSS 6.5 MEDIUM RCE

Laravel relationship inclusion can trigger unauthorized data destruction

Mã khác
GHSA-5wcm-3v2w-8362
Công bố
Cập nhật
Lần đầu thấy
Nguồn
GitHub Advisory

Mô tả

A vulnerability in how relationship inclusion is processed on certain read endpoints. Under specific conditions, a request to a read-only endpoint can be crafted to trigger a destructive database operation on a related table, rather than simply retrieving data.

Impact

A user with only read access could cause irreversible data loss (e.g., a related table being emptied), without needing any write permissions. This could result in denial of service and loss of data integrity for affected applications.

Điểm và phân loại

CVSS
6.5 MEDIUM v3.1
Nguồn điểm
GitHub Advisory
Mức độ (theo nguồn)
MEDIUM
EPSS
0.41%
CWE
CWE-470

Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

Ảnh hưởng

Package Bản bị ảnh hưởng Bản đã sửa
composer laravel/framework >= 12.45.0, < 12.68.0 12.68.0
composer laravel/framework >= 13.0.0, < 13.27.0 13.27.0

Vì sao bị lọc

  • CVSS 6.5 < 8.0 và không thuộc CISA KEV

Loại tác động

RCE
CWE-470

Tham khảo