Iniciar sesión
Deutsch English Español Polski
Baja

Laravel: XSS in Debug Page Information

  • Publicada: 29.09.2026
  • Actualizado: 11.10.2026 10:22

Impact

When APP_DEBUG=true, attacker-controlled input is passed to a Tippy.js tooltip configured with allowHTML: true, enabling DOM-based XSS during mouse hover.

Patches

#61381

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer laravel/framework < 12.69.0, >= 13.0.0, < 13.30.0 12.69.0, 13.30.0

Referencias

Puntuación CVSS 3.1/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N
Debilidad (CWE)
CWE-80
Plataforma
Composer
Paquete
laravel/framework
Publicada
29.09.2026
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-jh5r-qr3c-85q8 - CC BY 4.0

Historial de vulnerabilidades: laravel/framework

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (26) en el archivo
Entradas en total
26
Primera → última
01.2021 09.2026
Sin corrección
0
Explotada en ataques
1

Distribución por gravedad

  • Crítica 2
  • Alta 11
  • Media 12
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Laravel: XSS in Debug Page Information esta entrada
    Baja · 3.1 CVE-2026-102279 < 12.69.0, >= 13.0.0, < 13.30.0 12.69.0, 13.30.0
  2. Laravel Framework: CRLF injection in default email rule
    Alta · 8.9 CVE-2026-48019 >= 13.0.0, < 13.10.0, < 12.60.0 13.10.0, 12.60.0
  3. Laravel environment manipulation via query string
    Alta · 0.0 CVE-2024-52301 < 6.20.45, >= 7.0.0, < 7.30.7, >= 8.0.0, < 8.83.28, >= 9.0.0, < 9.52.17, >= 10.0.0, < 10.48.23, >= 11.0.0, < 11.31.0 6.20.45, 7.30.7, 8.83.28, 9.52.17, 10.48.23, 11.31.0
  4. laravel framework SQL Injection via limit and offset functions
    Alta ghsa-wq8p-mqvg-2p5h >= 6.0.0, < 6.20.26, >= 7.0.0, < 7.30.5, >= 8.0.0, < 8.40.0 6.20.26, 7.30.5, 8.40.0
  5. laravel framework Unexpected database bindings via requests
    Alta ghsa-jwvj-pwww-3mj5 >= 6.0.0, < 6.20.14, >= 7.0.0, < 7.30.4, >= 8.0.0, < 8.24.0 6.20.14, 7.30.4, 8.24.0
  6. Laravel RCE vulnerability in "cookie" session driver
    Crítica · 9.9 ghsa-qm5c-m76r-2hfr >= 4.1.0, < 6.18.31, >= 7.0.0, < 7.22.4 6.18.31, 7.22.4
  7. Laravel Cookie serialization vulnerability
    Alta ghsa-6jvx-8ch9-j2jr >= 5.5.0, < 5.6.30 5.6.30
  8. Laravel Framework Deserialization Vulnerability
    Crítica · 9.8 CVE-2019-9081 >= 5.7.0, < 6.20.44 6.20.44
  9. Laravel Framework RCE Vulnerability
    Alta · 8.1 Explotada en ataques CVE-2018-15133 <= 5.5.40, >= 5.6.0, < 5.6.30 5.6.30
  10. OS Command Injection in Laravel Framework
    Alta · 8.8 CVE-2020-19316 < 5.8.17 5.8.17
  11. Improper Input Validation in Laravel
    Alta · 7.5 CVE-2020-24941 < 6.18.35, >= 7.0.0, < 7.24.0 6.18.35, 7.24.0
  12. SQL Server LIMIT / OFFSET SQL Injection in laravel/framework and illuminate/database
    Alta ghsa-4mg9-vhxq-vm7j >= 8.0.0, < 8.40.0, < 6.20.26 8.40.0, 6.20.26
  13. Unexpected database bindings
    Alta · 7.2 ghsa-x7p5-p2c9-phvg < 6.20.14, >= 7.0.0, < 7.30.4, >= 8.0.0, < 8.24.0 6.20.14, 7.30.4, 8.24.0
  14. Query Binding Exploitation
    Alta · 7.2 CVE-2021-21263 >= 8.0.0, < 8.22.1, >= 6.0.0, < 6.20.11, >= 7.0.0, < 7.30.2 8.22.1, 6.20.11, 7.30.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.