CVE-2026-61701 in laravel-magiclink
الملخص
بحسب VulDB • 14/09/2026
يُتيح Laravel MagicLink إنشاء روابط للمصادقة دون استخدام كلمة مرور أو للوصول إلى محتوى خاص. من الإصدار 2.0.0 حتى 2.25.1، يقوم MagicLink بتخزين كائنات إجراءات مُسلسلة (serialized action objects) في عمود قاعدة البيانات magic_links.action ويقوم بإلغاء تسلسلها عبر src/MagicLink.php وsrc/Actions/ResponseAction.php دون حماية كافية للنزاهة (integrity protection)، بينما يظل بديل legacy غير آمن لـ unserialize() قابلاً للوصول. يمكن لمهاجم قادر على التلاعب بسجلات قاعدة البيانات، مثلًا من خلال حقن SQL منفصل أو وصول إداري مُخترق، إدراج رسم كائنات مُسلسل ضار يحتوي على سلوك إغلاق (closure) قابل للتنفيذ؛ وعند زيارة الرابط السحري المرتبط، يتم إلغاء تسلسل السجل مما قد يؤدي إلى تنفيذ أكواد عشوائية في عملية التطبيق. المسار المتأثر مقيد بسجلات الإجراءات المُتلاعب بها ولا يوفر بشكل مستقل وصولاً لكتابة قاعدة البيانات. تم إصلاح هذه المشكلة في الإصدار 2.25.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.