🇰🇷 한글 설명
Laravel 프레임워크의 TokenGuard 설정에서 문자열이 아닌 조작된 인증 정보를 처리할 때 발생하는 취약점입니다. 특정 MySQL 또는 MariaDB 환경에서 인증 조회 과정 중 의도하지 않은 사용자와 일치할 수 있어, 인증을 우회하고 계정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용하는 인증 키를 특수한 형태로 보내면, 시스템이 이를 잘못 해석하여 비밀번호 없이도 다른 사람의 계정으로 접속할 수 있는 문제입니다. 공격자가 남의 계정을 마음대로 조작할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Laravel is a web application framework. Prior to 12.68.0 and 13.29.0, TokenGuard configured as a standard token-based API guard does not reject a crafted non-string credential. Under affected MySQL or MariaDB configurations, the authentication lookup can match an unintended existing user, allowing an unauthenticated attacker to bypass authentication and take over an account on routes protected by TokenGuard. This issue is fixed in versions 12.68.0 and 13.29.0.
📍 영향받는 시스템
Laravel versions prior to 12.68.0 and 13.29.0
⚔️ 공격 벡터
조작된 비문자열(non-string) 인증 정보를 전송하여 인증 로직을 우회하는 방식
🛡️ 대응 방법
Laravel을 12.68.0 또는 13.29.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 12.68.0 또는 13.29.0보다 낮은지 확인하십시오.
composer show laravel/framework | grep 'versions'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Laravel 제품 보안 업데이트 권고
P4
📅 2026-10-23 · sec_notice
Laravel Framework에서 부적절한 인증(Improper Authentication) 취약점이 발견되었습니다. 해당 프레임워크를 사용하는 개발자 및 운영자는 인증 우회 위험을 방지하기 위해 최신 보안 버전으로 업데이트해야 합니다.