CVE-2026-114509 [重大] LaravelのTokenGuard認証における、文字列でないAPI認証情報による回避。

公開日 2026-10-24 GitHub Advisory（critical）深刻度 CRITICAL

この記事は英語の原文を AI で機械翻訳したものです。製品名・バージョン・CVE 番号や、肯定・否定が正しく訳されていない場合があります。必ず元記事をご確認ください。ご利用上の注意

LaravelのTokenGuard認証における、文字列以外のAPI認証情報による回避

Laravelに組み込まれているTokenGuardは、**標準的なトークンベースのAPI認証を使用するように設定されている場合**、攻撃者が特定のユーザーの有効なAPIトークンを知らなくても、そのユーザーとして認証を通過する可能性があります。

**特定のデータベース構成（MySQL/MariaDB）の場合**、攻撃者は特別に作成された、文字列ではない認証情報値を送信することで、認証処理中に誤った扱いを受け、本来認証に失敗するはずのユーザーレコードと一致してしまう可能性があります。

### 影響
認証されていない攻撃者が、対象となるユーザーのAPIトークンを所有せずに、別のユーザーとして認証を通過し、影響を受ける認証機能で保護されているすべてのルートにおいて、認証の回避やアカウントの乗っ取りにつながる可能性があります。

影響を受けるパッケージ：
- Composer (PHP) laravel/framework: 影響を受けるバージョン >= 13.0.0, < 13.29.0、修正されたバージョン 13.29.0
- Composer (PHP) laravel/framework: 影響を受けるバージョン < 12.68.0、修正されたバージョン 12.68.0