PHPのフレームワーク Laravelで2件の重大なXSS脆弱性（CVE-2024-13918、 CVE-2024-13919）

SBA Researchのセキュリティ研究者であるFabian Funder氏とPhilipp Adelsberger氏は、PHPのフレームワーク Laravelにおける2件の反射型XSS（クロスサイトスクリプティング）脆弱性を発見しました。すでに修正パッチがリリースされているのでバージョンアップして対応する事をお勧めします。

影響を受けるバージョン

Laravel 11.9.0〜11.35.1　かつ

デバッグモードがAPP_DEBUG=trueの場合にのみ影響。

対策バージョン

バージョン11.36.0

緩和策

バージョン11.36.0へアップデートできない場合は、デバッグモードをAPP_DEBUG=false に変更。

脆弱性　CVE-2024-13918とCVE-2024-13919の概要

デバッグ モードのエラー ページでのリクエスト パラメータのエンコードが不適切であるため、反射型クロスサイト スクリプティングの影響を受けやすくなります。

攻撃者は、悪意のあるJavaScriptコードを含むURLを生成し、ユーザーにこのリンクをクリックさせることで、エラーが発生した場合にLaravelのエラーページに悪意のあるコードが表示されます。これによりユーザーのセッションやCookie、その他機密情報を窃取する事が可能になります。