p PatchFirst

CVE-2026-39976

CVE-2026-39976 · Laravel Passport's TokenGuard Authenticates Unrelated User for Client Credentials Tokens

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Laravel Passport provides OAuth2 server support to Laravel. From 13.0.0 to before 13.7.1, there is an Authentication Bypass for client_credentials tokens. the league/oauth2-server library sets the JWT sub claim to the client identifier (since there's no user). The token guard then passes this value to retrieveById() without validating it's actually a user identifier, potentially resolving an unrelated real user. Any machine-to-machine token can inadvertently authenticate as an actual user. This vulnerability is fixed in 13.7.1.

CVSS 7.1 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • passport

    Softwareversionen
    • >= 13.0.0, < 13.7.1: Betroffen

    Keine Korrektur veröffentlicht

  • laravel/passport Packagist

    Softwareversionen
    • v13.0.0
    • v13.0.1
    • v13.0.2
    • v13.0.3
    • v13.0.4
    • v13.0.5
    • v13.0.6
    • v13.1.0
    • v13.2.0
    • v13.2.1
    • v13.2.2
    • v13.3.0
    • v13.4.0
    • v13.4.1
    • v13.4.2
    • v13.4.3
    • v13.4.4
    • v13.5.0
    • v13.6.0
    • v13.7.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 13.0.0, < 13.7.1

    Auf 13.7.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →