В Laravel, популярном каркасе для веб-приложений на PHP, нашли уязвимость межсайтового скриптинга. Срабатывает она только при включённом режиме отладки. Чужой код попадает на отладочную страницу. Затем он исполняется в браузере того, кто эту страницу открыл. Опасность издатель оценил как низкую. Поэтому речь идёт о риске для разработчиков и тестовых стендов. Массовой угрозы для посетителей обычных сайтов здесь нет. Уязвимы ветка 13.x до версии 13.30.0 и все выпуски ниже 12.69.0. Речь о пакете laravel/framework, который устанавливают через Composer, менеджер зависимостей для PHP. При этом каркас используют и небольшие команды, и крупные компании.
Детали уязвимости
Механизм связан со всплывающими подсказками на отладочной странице. Laravel собирает её с помощью библиотеки Tippy.js. Библиотеку настроили так, что она разрешает вставлять в подсказку разметку. Кроме того, часть данных, которые туда попадают, контролирует злоумышленник. Следовательно, он может подсунуть жертве ссылку или запрос. После этого подсказка отрисует вредоносный фрагмент. Исполняется он в момент наведения курсора. Такой вид атаки называют межсайтовым скриптингом на стороне браузера. Код работает в объектной модели документа, а не на сервере. Иными словами, сервер отдаёт страницу без изменений, а вредит уже браузер.
Межсайтовый скриптинг - давняя категория уязвимостей. Через него обычно крадут сессионные данные, подменяют содержимое страницы или перенаправляют пользователя. Однако в данном случае последствия скромнее. Издатель заявил лишь низкое нарушение целостности. Утечка данных и отказ в обслуживании не указаны. Значит, изменить отображение страницы злоумышленник может. Но получить доступ к чужим данным напрямую он не может. Такой сценарий чаще встречается во внутренних сетях, где отладку включают ради удобства.
Для успеха нужен ряд условий. Пользователь должен открыть уязвимую страницу и навести курсор на подсказку. Значит, злоумышленнику придётся заманить человека на отладочный интерфейс. Сложность атаки издатель оценил как высокую. При этом взаимодействие с пользователем обязательно. Вектор сетевой, то есть действовать можно удалённо. Права в системе не нужны. Из-за высокой сложности и обязательного действия человека автоматических атак здесь почти не бывает.
Режим отладки предназначен для разработки. Он показывает подробные страницы ошибок, переменные окружения и следы вызовов. Однако на тестовых и промежуточных стендах его нередко оставляют включённым. К тому же такие стенды иногда доступны из интернета. Отладочная страница раскрывает сведения о конфигурации и внутреннем устройстве приложения. Поэтому подобные интерфейсы давно считают нежелательными в открытом доступе. Межсайтовый скриптинг добавляет к раскрытию информации ещё одну возможность. Чужой код может исполниться в браузере разработчика, тестировщика или администратора. А браузер такого сотрудника нередко хранит активные сессии внутренних систем. Доступ к отладке стоит ограничивать даже внутри компании.
Идентификатор CVE уязвимости пока не присвоен. Данных об эксплуатации в реальных атаках нет. Слабость отнесли к категории CWE-80. Речь о некорректной обработке служебных символов в разметке. Первооткрывателем указан исследователь под ником Rikuxx0. Бюллетень опубликован 10 сентября 2026 года. Впрочем, идентификатор может появиться позже. Laravel - распространённый каркас, поэтому на него стоит обращать внимание даже при низкой оценке.
Проверить свою версию несложно. Она указана в перечне зависимостей проекта. Обновление через Composer подтянет свежий выпуск пакета. Кроме того, полезно просмотреть косвенные зависимости. Иногда старый выпуск остаётся в проекте из-за жёстко зафиксированной версии. Тогда обновление требует ручной правки.
Исправления вошли в версии 13.30.0 и 12.69.0. Тем, кто работает на более ранних выпусках, стоит обновиться. Правку добавили отдельным запросом на слияние в основном репозитории каркаса. Если обновление пока невозможно, разумно отключить режим отладки на всех сетевых стендах. Такая мера снижает риск полностью. Проблема касается именно отладочной страницы. Полезно также проверить, не открыты ли такие страницы наружу. Заодно стоит убедиться, что они не показывают лишние сведения. Ограничить доступ к тестовым средам по сети тоже разумно. Но обновление такая мера не заменяет.
Бюллетень вышел под номером GHSA-jh5r-qr3c-85q8. В таких документах издатель перечисляет уязвимые и исправленные выпуски. Стоит подписаться на уведомления по ключевым зависимостям. Тогда сообщения о новых выпусках приходят сами. Помимо этого, подписка помогает не пропустить очередную правку. Это экономит время при проверке версий в десятках проектов.
Низкая оценка опасности не отменяет необходимости следить за версиями каркаса. Атакующие всё чаще выбирают инструменты разработки. Через них проще добраться до исходного кода, ключей и внутренних сервисов. Отладочные интерфейсы нередко остаются открытыми дольше, чем предполагает регламент. Для Laravel подобные находки пока не приводят к массовым последствиям. Впрочем, условия эксплуатации здесь узкие. Тем не менее отключение отладки в публичных средах по-прежнему снижает риск. Наряду с этим стоит помнить о косвенных зависимостях. Своевременная установка обновлений дополняет эту меру. Проверка версий перед очередным релизом занимает считанные минуты.
Ссылки
