PHPのWebフレームワーク「Laravel」で、TokenGuardによる認証の回避と、読み取り用APIからのデータ消去につながる2件の脆弱性が公表されています。特に「CVE-2026-114509」は、MySQL／MariaDBを使う特定の構成で、有効なAPIトークンを知らなくても既存ユーザーとして認証される問題。2件とも対処するには、13系は13.29.0、12系は12.68.0以降への更新が必要です。 【要点の整理】 ・対象は、組み込みのTokenGuardを標準のトークン方式のAPI認証に使い、MySQLまたはMariaDBを組み合わせた特定の構成。攻撃者が文字列ではない型の認証情報を細工して送ると、ユーザーを検索するクエリーが意図しない既存ユーザーに一致するおそれ ・攻撃者の事前認証や被害ユーザーの有効なトークンは不要。深刻度はCritical（CVSS v4：9.2）で、修正版は13系が13.29.0、12系が12.68.0 ・同時に公表された別の脆弱性「CVE-2026-114508」は、読み取り用APIで関連テーブルのデータを取得する要求を細工すると、特定の条件で取得の代わりにデータを消去するクエリーが実行される問題。書き込み権限のないユーザーでも関連テーブルを空にできるおそれがあり、13.27.0と12.68.0で修正済み 詳細は以下を参照： github.com/laravel/framework… github.com/laravel/framework… (※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)