Laravel 12.67.0 behebt Validation-Bypass und Postgres-JSON-Escaping
Laravel 12.67.0 beschränkt temporäre Upload-URLs auf den Query-String, schließt einen Bypass in Validierungsregeln durch Loose Comparison und escaped einfache Anführungszeichen in Postgres-JSON-Pfaden.
Außerdem gibt es Retries für abgelaufene Cloud-Agent-Long-Polls.
Laravel 12.67.0 ist auf dem 12.x-Zweig erschienen. Das Release enthält sechs gemergte Pull Requests, davon die Hälfte von Mior Muhammad Zaki (crynobone).
Zwei Änderungen betreffen sicherheitsrelevantes Verhalten. Temporäre Upload-URLs lesen Daten jetzt ausschließlich aus dem Query-String des Requests statt aus breiteren Eingabequellen. Eine Verbesserung der Validierungsregel schließt einen Bypass, der auf Loose Comparison beruhte. Ein dritter Fix escaped einfache Anführungszeichen in Postgres-JSON-Pfad-Attributen.
Auf der Stabilitätsseite werden abgelaufene Cloud-Agent-Long-Polls jetzt automatisch wiederholt, beigesteuert von Kieran Brown. Tim MacDonald hat verschachtelte Daten zu verwalteten Queue-Events auf Top-Level befördert. Ein Backport von OutlawPlz vermeidet die quadratische Expansion von Wildcard-Regeln, was die Validierung mit vielen Wildcards beschleunigen sollte.
Leserforum
Noch keine Beiträge — eröffne die Debatte.
Starte die Diskussion
Kein Konto, kein Passwort nötig — gib einfach deine E-Mail-Adresse ein, wir senden dir einen einmaligen Anmelde-Link. Beim ersten Mal bist du damit automatisch angemeldet.
Deine Bewertung wird nach der Anmeldung automatisch übernommen.
Schau in dein Postfach
Wir haben einen Anmelde-Link an … gesendet. Öffne ihn auf diesem Gerät — dieser Tab meldet dich automatisch an.
Nichts angekommen? Wirf einen Blick in den Spam-Ordner — und markiere die Mail dort als „Kein Spam“, dann landet sie künftig direkt im Postfach.