← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Laravel activement exploitées (KEV)

Les 3 vulnérabilités Laravel dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 1 utilisée par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2025-54068 — Laravel Livewire : vulnérabilité d'injection de code Critique

  • Produit : Laravel Livewire
  • Ajoutée au catalogue : 20 mars 2026
  • Échéance CISA : 3 avril 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-94
  • Gravité : CVSS 9,2 (critique)
  • Probabilité d’exploitation (EPSS) : 96 %

Laravel Livewire contient une vulnérabilité d'injection de code qui pourrait permettre à des attaquants non authentifiés d'obtenir une exécution de code à distance dans des scénarios spécifiques.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2018-15133 — Laravel : vulnérabilité de désérialisation de données non fiables

  • Produit : Laravel Laravel Framework
  • Ajoutée au catalogue : 16 janvier 2024
  • Échéance CISA : 6 février 2024
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-502
  • Gravité : CVSS 8,1 (élevée)
  • Probabilité d’exploitation (EPSS) : 77 %

Le framework laravel contient une vulnérabilité de désérialisation de données non fiables, permettant une exécution de code à distance. cette vulnérabilité ne peut être exploitée que si un utilisateur malveillant a accédé à la clé de chiffrement de l'application (variable d'environnement APP_KEY).

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · laravel.com

CVE-2021-3129 — Laravel Ignition : vulnérabilité de téléversement de fichiers Critique

  • Produit : Laravel Ignition
  • Ajoutée au catalogue : 18 septembre 2023
  • Échéance CISA : 9 octobre 2023
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %

Laravel Ignition contient une vulnérabilité de téléversement de fichiers qui permet à des attaquants distants non authentifiés d'exécuter du code malveillant en raison de l'utilisation non sécurisée de file_get_contents() et file_put_contents().

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

← Retour au suivi KEV · télécharger tout le catalogue (CSV)