CVE-2026-61701 in laravel-magiclink
Сводка
по VulDB • 14.09.2026
Laravel MagicLink создает ссылки для аутентификации без использования пароля или для доступа к приватному контенту. С версии 2.0.0 до 2.25.1 включительно, MagicLink хранит сериализованные объекты действий в столбце базы данных magic_links.action и десериализует их через src/MagicLink.php и src/Actions/ResponseAction.php без достаточной защиты целостности, при этом остается доступным небезопасный устаревший механизм fallback для unserialize(). Атакующий, который может манипулировать записями в базе данных (например, посредством отдельного SQL-инъекции или скомпрометированного административного доступа), может внедрить вредоносный граф сериализованных объектов, содержащий исполняемое поведение замыканий; посещение соответствующей magic-ссылки приводит к десериализации записи и потенциальному выполнению произвольного кода в процессе приложения. Затронутый путь ограничен манипулированными записями действий и не предоставляет самостоятельного доступа для записи в базу данных. Эта проблема исправлена в версии 2.25.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.