CVE-2026-53933— Laravel框架 动态路由错误预言侧信道信息泄露漏洞
一分钟漏洞结论
影响对象
macropay-solutions maravel-framework
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Maravel（一个面向依赖注入的 PHP 框架）在 10.73.1 版本之前存在一个侧信道信息泄露问题。当路由使用动态占位符（例如 ）进行编译时，原始的字符串占位符键被错误地注册到了扁平的静态路由检查表中。攻击者在对端点进行扫描时，可以故意传递字面量模板语法（例如 ），从而强制与静态映射表发生意外匹配。由于动态树引擎被绕过，未捕获到任何参数。这导致现代 PHP 8+ 版本抛出原生的 ，返回 500 内部服务器错误，而非统一的 404 未找到。通过追踪哪些模糊测试模式会触发 500 错误，恶意行为者可以编程地描绘并
可能的 ATT&CK 技术 1 AI
T1041 · Exfiltration Over C2 Channel
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-53933 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Maravel-Framework Vulnerable to Side-Channel Information Disclosure (Error Oracle) via Dynamic Route Fuzzing
来源: CVE Program / CVE List V5
Vulnerability Description
Maravel, a PHP framework oriented towards dependency injection, prior to version 10.73.1 has a side-channel information disclosure issue. When a route was compiled with dynamic placeholders (e.g., `/api/v1/users/{id}`), the raw string placeholder key was mistakenly registered into the flat static route checklist. An attacker scanning endpoints could intentionally pass the literal template syntax (e.g., `GET /api/v1/users/{id}`) to force an unexpected match against the static map. Because the dynamic tree engine was bypassed, no arguments were captured. This forced modern PHP 8+ versions to throw a native `ArgumentCountError`, resulting in a 500 Internal Server Error instead of a uniform 404 Not Found. By tracking which fuzz patterns exploded into a 500 error, a malicious actor could programmatically profile and map out internal route parameter names and controller schemas. Version 10.73.1 contains a patch. As a workaround, mitigate this side-channel leak by implementing a defensive check in a global middleware. This will reject any literal brace patterns before they reach the router engine.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过差异性导致的信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| macropay-solutions | maravel-framework | < 10.73.1 | - |
|
二、漏洞 CVE-2026-53933 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-53933 的情报信息
请登录查看更多情报信息。
CVE-2026-53933 安全博客文章 (1)
-
🔗 Home | Maravel Micro-Framework Docs x_refsource_MISC
CVE-2026-53933 厂商页面 (1)
-
🔗 macropay-solutions/maravel-framework - Packagist.org x_refsource_CONFIRM
IV. Related Vulnerabilities
Same product: maravel-framework
Same vendor: macropay-solutions
V. Comments for CVE-2026-53933
暂无评论