概要
laravel に 脆弱性 (CVE-2026-41902) が存在。機密情報が外部に流出する可能性があります。Referer header 経由で攻撃可能。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
FreeScout is a free help desk and shared inbox built with PHP's Laravel framework. Prior to version 1.8.217, the /user-setup/{hash} endpoint accepts a 60-character random invite_hash to set a new user's password. The endpoint performs no expiration check — the hash remains valid indefinitely until consumed. Combined with realistic hash-leakage scenarios (forwarded invite emails, HTTP referrer to external CDNs on the setup page, server-side log exposure, abandoned invite emails in shared inboxes), this enables unauthenticated permanent account takeover months or years after invite issuance. If the leaked invite was sent to an admin, the takeover yields admin access. This issue has been patched in version 1.8.217.
出典: NIST National Vulnerability Database NVD
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
FreeScoutはLaravelを使用したヘルプデスクシステムで、以前のバージョンではユーザー招待リンクに有効期限がなかったため、情報漏洩によってアカウントが乗っ取られる可能性がありました。特に管理者アカウントのリンクが漏れた場合、攻撃者が管理権限を奪うことができます。この問題は最新バージョンで修正されています。あなたの会社がFreeScoutを使用している場合は、直ちに最新のバージョンにアップデートすることをお勧めします。
FreeScoutの/user-setup/{hash}エンドポイントは、60文字のinvite_hashを持つユーザーのパスワード設定を許可していましたが、バージョン1.8.216までは有効期限をチェックしていませんでした。これにより、招待リンクが漏洩すると、後に認証不要でアカウント乗っ取りが可能でした。この問題は1.8.217で修正されています。攻撃ベクターに対抗するため、招待リンクの有効期限を設定することをお勧めします。攻撃の検知は、異常な/loginエンドポイントアクセスを監視することで行うことができます。
laravel に 脆弱性 (CWE-613) があります。攻撃者は Referer header を経由して脆弱な処理に到達し、認証なしで悪用できます。
laravel のうち 影響範囲: <1.8.217。攻撃箇所: Referer header / invite_hash / e6fe63e71f37b5b9683454edcf5a40e4288c0e36 / invite_sent_at。
重要度: 最重要 (CVSS 9.1/10)。機密情報が外部に流出する可能性があります
ベンダー公式アドバイザリの修正版に更新してください。(修正前: <1.8.217 該当バージョンが本番稼働中なら直ちに更新計画を立案)
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
類似する過去の事例 過去のCVE/インシデントから類似事例を抽出
A similar issue in another CMS where API keys did not expire, leading to account takeovers.
A Laravel application had a similar invite link expiration vulnerability.
Another case where leaked invite URLs led to unauthorized access in enterprise systems.
もし自社で起きたら 業務シナリオごとの想定影響
A leaked admin invitation could give unauthorized access to internal systems.
Customer data exposure if shared inboxes are accessed by unauthorized persons.
Potential loss of control over user accounts if employee invitation links are forwarded externally.
Immediately update FreeScout to the latest version and ensure all user invitation links are secure with proper expiration.
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1影響範囲の特定 identify
grep -r 'laravel' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
laravelを grep し、稼働しているサービス・バージョンを把握する。 -
2バージョン照合 verify
Confirm if version satisfies `<1.8.217`Step 1 で見つかったバージョンが影響範囲
<1.8.217に該当するか照合。本番で稼働中ならインシデント扱い。 -
7事後検証 verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。