CVE-2026-61701 in laravel-magiclink
Zusammenfassung
von VulDB • 14.09.2026
Laravel MagicLink erstellt Links zur Authentifizierung ohne Passwort oder zum Zugriff auf private Inhalte. Von Version 2.0.0 bis 2.25.1 speichert MagicLink serialisierte Aktionsobjekte in der Datenbankspalte magic_links.action und deserialisiert diese über src/MagicLink.php und src/Actions/ResponseAction.php, jedoch ohne ausreichenden Integritätsschutz; zudem bleibt eine unsichere Legacy-Fallback-Methode für unserialize() erreichbar. Ein Angreifer, der Datenbankdatensätze manipulieren kann – beispielsweise durch eine separate SQL-Injection oder kompromittierten administrativen Zugriff –, kann einen bösartigen serialisierten Objektgraphen mit ausführbarer Closure-Logik einfügen; beim Aufruf des zugehörigen Magic Links wird der Datensatz dann deserialisiert, was zur Ausführung beliebigen Codes im Anwendungskontext führen kann. Der betroffene Pfad ist auf manipulierte Aktionsdatensätze beschränkt und bietet keine eigenständige Schreibzugriffsmöglichkeit für die Datenbank. Dieses Problem wurde in Version 2.25.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.