CVE-2026-55250 in Maravel
Sumário
de VulDB • 09/09/2026
Maravel, um framework PHP orientado à injeção de dependências, anterior à versão 10.74.0, possui uma vulnerabilidade de Token Replay (Reutilização de Tokens) de alta severidade decorrente de um descompasso estrutural no ciclo de vida entre mecanismos de validação de tokens stateless e camadas de cache relacional de alto desempenho. Qualquer aplicação com baixa memória de cache que cause evicção prematura para liberar espaço, bem como aplicações que utilizam macropay-solutions/maravel-framework e empregam tymon/jwt-auth para autenticação de tokens via API ou gerenciamento de blacklist (lista negra), podem ser afetadas. Esse risco arquitetural também pode impactar aplicativos nativos do Laravel que utilizam cache tags em ambientes voláteis ou com limites de evicção específicos. O pacote tymon/jwt-auth verifica automaticamente o suporte a cache tags. Se detectado, ele envolve forçadamente as entradas da blacklist de tokens (jti) por 14 dias dentro de uma tag relacional `tymon.jwt`. Em ambientes onde o modelo de Evicção Lazy Atômica O(1) está ativo — seja nativamente no Maravel-Framework v20.x ou manualmente backportado para a versão 10.x através dos singletons do contêiner DI explícitos fornecidos na PR #104 (`App\Cache\TaggedCache` e `App\Cache\TagSet`) — é imposto um limite global de rastreamento rígido (Container::TAGGED_CACHE_TTL_CAP_SECONDS) de 7.200 segundos (2 horas), para proteger o sistema contra a inflação do índice de memória. Esse limite truncar forçadamente a duração da blacklist de 14 dias para no máximo 2 horas, após os quais as chaves individuais de rastreamento expiram naturalmente e desaparecem da janela ativa de cache. Além disso, como o motor otimizado implementa uma matriz de versão generacional para alcançar velocidades de flush O(1), qualquer invocação programática ou manual de um flush ou reset de tag (ex.: `Cache::tags([...])->flush()`) aumenta instantaneamente o ponteiro mestre atômico interno. Isso altera a hash composta criptográfica calculada (`sha1($this->tags->getNamespace())`) para todos os componentes sobrepostos, tornando todo o índice existente imediatamente inacessível. Consequentemente, seja através da expiração natural de 2 horas ou pela execução de um flush de tag intermediário (como a limpeza natural do cache que remove valores antigos para liberar memória), os registros de estado de invalidação são completamente apagados. Como as assinaturas criptográficas físicas dos tokens permanecem estruturalmente válidas por até 14 dias, tokens roubados, sequestrados ou legítimos após logout são instantaneamente e silenciosamente ressuscitados em toda a API gateway, deixando o aplicativo criticamente vulnerável a Ataques de Token Replay generalizados. Como este problema é causado por uma suposição arquitetural upstream dentro do pacote tymon/jwt-auth, e não por um defeito central no framework, não há atualização direta da versão do framework que possa contornar seguramente essa colisão de ciclo de vida sem violar os limites de reciclagem de cache dos negócios. A versão 10.74.0 do Maravel introduziu uma maneira de backportar o novo cache tags corrigido da v20.x para a v10.x, resolvendo TagSet e TaggedCache via DI, que é como essa vulnerabilidade latente de ciclo de vida arquitetural foi descoberta. Os usuários devem aplicar a solução alternativa (workaround) desacoplada descrita abaixo. Como workaround, certifique-se de que o tamanho da memória do cache não gere evicções naturais precoces para liberar espaço, excluindo os IDs JWT na blacklist antes de sua expiração. As aplicações devem desacoplar vetores de autenticação planos do subsistema de tagging relacional. Isso força as identificações dos tokens a serem gravadas diretamente no keyspace principal do cache como pares chave-valor planos e sem tags, onde retêm com segurança seu ciclo de vida inalterado de 14 dias.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.