JVNDB-2026-017953

Laravel Holdings Inc.のLaravel Passportにおける認証に関する脆弱性

Laravel PassportはLaravelにOAuth2サーバーサポートを提供します。バージョン13.0.0から13.7.1未満の間に、client_credentialsトークンに対する認証バイパスの脆弱性が存在していました。league/oauth2-serverライブラリはJWTのsubクレームをクライアント識別子として設定します（ユーザーが存在しないためです）。その後、トークンガードはこの値をretrieveById()に渡しますが、それが実際にユーザー識別子であるかを検証しないため、無関係の実際のユーザーを誤って解決してしまう可能性があります。これにより、任意のマシン間トークンが誤って実際のユーザーとして認証される可能性があります。この脆弱性はバージョン13.7.1で修正されました。

Laravel Holdings Inc.

• Laravel Passport 13.0.0 以上 13.7.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : TokenGuard Authenticates Unrelated User for Client Credentials Tokens  Advisory  laravel/passport  GitHub

1. 不適切な認証(CWE-287) [その他]

1. CVE-2026-39976

1. National Vulnerability Database (NVD) : CVE-2026-39976
2. 関連文書 : Prevent user impersonation via client credentials token by pushpak1300  Pull Request #1901  laravel/passport  GitHub
3. 関連文書 : [13.X] fix: resolve user as null when user ID matches client ID on integer key setups by Can-Kar  Pull Request #1902  laravel/passport  GitHub
4. 関連文書 : v9 Client Credentials grant broken  Issue #1456  thephpleague/oauth2-server
5. 関連文書 : TokenGuard::authenticateViaBearerToken() does not validate oauth_user_id type, causing user impersonation with client_credentials tokens  Issue #1900  laravel/passport

• [2026年06月04日]
    掲載