Livewire: Cross-Site Request Forgery (vom Hersteller bestritten)

Beschreibung

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) in Livewire vor v3.0.4 soll entfernten Angreifern über die Funktion getCsrfToken die Ausführung beliebigen Codes erlauben. Der Hersteller bestreitet dies und weist darauf hin, dass der betreffende Commit ein Usability-Problem und kein Sicherheitsproblem behebt. CVSS-Basiswert: 8.8 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Laravel (inkl. Ignition und Livewire)

• Laravel Livewire Code Injection KEV CVE-2025-54068
• Laravel – Deserialization of Untrusted Data KEV CVE-2018-15133
• Laravel Ignition – File Upload Vulnerability KEV CVE-2021-3129
• Laravel Reverb: unsichere Deserialisierung aus Redis-Kanal ermöglicht RCE CVE-2026-23524
• Livewire Filemanager – Fehlende MIME-Prüfung ermöglicht Remote Code Execution CVE-2025-14894
• Umgehung der Dateivalidierung im Laravel-Framework CVE-2025-27515