平台
laravel
组件
laravel/passport
修复版本
13.0.1
13.7.1
CVE-2026-39976 是 Laravel Passport 中的身份验证绕过漏洞。该漏洞允许攻击者利用 client_credentials 令牌，导致令牌错误地认证为真实用户，从而可能造成未经授权的访问。该漏洞影响 Laravel Passport 版本小于或等于 v13.7.0 的用户。建议立即升级至 13.7.1 版本以修复此问题。
该漏洞的潜在影响非常严重。攻击者可以利用此漏洞，通过 client_credentials 令牌，伪装成真实用户，从而获得对应用程序的未经授权的访问权限。攻击者可以访问用户数据、执行敏感操作，甚至可能完全控制应用程序。具体来说，如果 EnsureClientIsResourceOwner 中间件与 Passport::$clientUuids 设置为 false，则可能导致将用户解析为身份，从而进一步扩大攻击面。这种攻击模式类似于 OAuth 2.0 授权服务器中的其他身份验证绕过漏洞，可能导致数据泄露和系统破坏。
该漏洞已公开披露，并且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录中。公开的 PoC 可能存在，因此需要密切关注安全社区的动态。
漏洞利用状态
EPSS
0.07% (20% 百分位)
CISA SSVC
缓解此漏洞的关键是升级至 Laravel Passport 13.7.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，确保 EnsureClientIsResourceOwner 中间件已正确配置，并且 Passport::$clientUuids 设置为 true。其次，实施严格的访问控制策略，限制应用程序中敏感资源的访问权限。第三，监控应用程序的日志，查找任何可疑的身份验证活动。最后，如果使用代理或 WAF，请配置相应的规则以检测和阻止利用此漏洞的尝试。
将 Laravel Passport 更新到 13.7.1 或更高版本，以缓解身份验证绕过漏洞。此更新通过在生成 (client_credentials) tokens 时正确验证用户标识符来修复此问题。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-39976 是 Laravel Passport 中发现的身份验证绕过漏洞，允许攻击者利用 client_credentials 令牌错误地认证为真实用户。
如果您正在使用 Laravel Passport 版本小于或等于 v13.7.0，则可能受到此漏洞的影响。
建议升级至 Laravel Passport 13.7.1 或更高版本以修复此漏洞。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，建议尽快采取缓解措施。
请查阅 Laravel 官方安全公告以获取更多信息：[https://lara](https://lara)
CVSS 向量
上传你的 composer.lock 文件，立即知道是否受影响。