CVE-2026-118510
شدت بالا | CVSS 3.1: 8.8
بسته متأثر:
mongodb/laravel-mongodb
از 3.2.3 تا قبل از 5.12.0
اگر برنامه برای کنترل دسترسی به whereDoesntHave با شناسه‌های عددیِ رشته‌ای متکی باشد، کاربر عادی ممکن است بتواند اسناد ممنوع را بخواند، تغییر دهد یا حذف کند. این خطا می‌تواند بدون پیام خطا رخ دهد.
✅ بسته را با رعایت سازگاری پروژه به 5.12.0 یا جدیدتر ارتقا و نسخه اصلاح‌شده را مستقر کنید.
ارتقای PHP یا هسته Laravel به‌تنهایی این وابستگی را اصلاح نمی‌کند.
سوءاستفاده فعال تأیید نشده است.
انتشار رکورد آسیب‌پذیری: ۲۸ اکتبر ۲۰۲۶
اصلاحیه سازنده:
https://github.com/mongodb/laravel-mongodb/releases/tag/5.12.0
~~~~
✅ @WebBanSecurity
