CVE-2026-48019 в Debian: CRLF-инъекция в Laravel, статус пакетов и меры защиты

CVE: CVE-2026-48019
Продукт: Debian
Дата публикации: 05.09.2026
Критичность: HIGH
CVSS: 8.9 (3.1)
EPSS: 0,68%; процентиль 50,12%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В пакете php-laravel-framework для Debian зафиксирована уязвимость CRLF-инъекции (CVE-2026-48019). Она позволяет неавторизованному атакующему вмешиваться в обработку исходящей почты, если приложение отправляет письма на адреса, контролируемые пользователем.

В официальных репозиториях Debian (bookworm, trixie, forky, sid) исправление пока не выпущено, статус уязвимости — open. Материал описывает механику атаки, текущие версии пакетов и временные меры защиты для администраторов.

Основные характеристики​

Уязвимость позволяет злоумышленнику внедрять управляющие последовательности символов в адрес электронной почты, что приводит к манипуляциям с исходящими сообщениями. Риск связан с недостаточной валидацией входных данных в связке с обработкой MIME-заголовков.

• Тип ошибки: CRLF-инъекция (CWE-93). Позволяет внедрять новые строки в заголовки или тело сообщения.
  
• CVSS: 8.9 (HIGH). Вектор: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L. Высокая сложность эксплуатации (AC:H) снижает вероятность массовых атак, но последствия для конфиденциальности и целостности критичны.
  
• Условия атаки: Сетевой доступ (AV:N), отсутствие необходимости в аутентификации (PR:N), отсутствие взаимодействия пользователя (UI:N).
  
• Эксплуатация: Публичные PoC или подтвержденная эксплуатация в реальных атаках в предоставленных источниках не зафиксированы.
  
• EPSS: 0,68% (процентиль 50,12%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но не нулевая.
  

Какие продукты и версии затронуты​

В Debian уязвимым является исходный пакет php-laravel-framework. Согласно данным Debian Security Tracker, во всех поддерживаемых и нестабильных ветках статус уязвимости остается открытым (open), а версия исправления не назначена.

• bookworm: версия 8.83.26+dfsg-2, статус open.
  
• trixie: версия 10.48.29+dfsg-1, статус open.
  
• forky: версия 11.46.1+dfsg-4, статус open.
  
• sid (unstable): версия 11.46.1+dfsg-4, статус open.
  

Уязвимость затрагивает приложения, использующие Laravel для отправки писем на адреса, контролируемые пользователем. Если ваш стек не использует этот пакет, риск для системы отсутствует.

Причина уязвимости​

Причина уязвимости кроется в недостаточной санитизации входных данных при валидации адресов электронной почты в Laravel. Фреймворк не полностью фильтрует управляющие последовательности символов (CRLF) из пользовательского ввода.

В сочетании с тем, как Symfony Mailer и Symfony Mime обрабатывают определенные последовательности символов, это позволяет атакующему внедрять дополнительные заголовки или изменять структуру исходящего сообщения. Нарушенная проверка — это отсутствие строгой валидации до передачи данных в почтовый движок.

Как работает атака​

Атакующий направляет запрос в приложение, которое отправляет письма на адреса, переданные пользователем. В поле адреса электронной почты внедряются последовательности (CRLF).

Laravel передает эти данные в Symfony Mailer. Из-за особенностей обработки MIME-заголовков в Symfony, внедренные CRLF-последовательности интерпретируются как разделители заголовков.

Это позволяет атакующему добавить собственные заголовки (например, Bcc: или Reply-To:) или изменить тело сообщения. В результате исходящая почта обрабатывается некорректно, что может привести к утечке данных или фишингу.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости атакующему необходимо:

• Сетевой доступ к приложению, использующему уязвимую версию Laravel.
  
• Возможность контролировать адрес электронной почты, на который отправляется письмо (например, через форму регистрации, сброса пароля или обратной связи).
  
• Приложение должно отправлять письма на пользовательские адреса, а не только на фиксированные внутренние адреса.
  

Если приложение не использует пользовательские адреса для отправки почты, уязвимость не эксплуатируема.

Возможный сценарий атаки​

Пользователь регистрируется в приложении, используя адрес электронной почты с внедренными CRLF-символами. Приложение валидирует адрес и передает его в Laravel для отправки письма-подтверждения.

Из-за уязвимости Laravel не фильтрует CRLF-последовательности. Symfony Mailer интерпретирует их как новые заголовки.

Атакующий может добавить заголовок Bcc: [email protected], чтобы получать копии всех писем, отправляемых приложением. Это приводит к утечке конфиденциальной информации и потенциальному фишингу.

Есть ли публичный эксплойт​

В предоставленных источниках отсутствуют сведения о публичных PoC, технических описаниях атаки или подтвержденной эксплуатации в реальных инцидентах. Наличие уязвимости подтверждено, но ее активное использование в дикой природе не зафиксировано. Отсутствие публичного эксплойта не означает, что атакующие не могут самостоятельно разработать его на основе описания механики.

Признаки эксплуатации​

Специфичные IOC для CVE-2026-48019 в источниках не представлены. Общие неспецифичные признаки, которые могут указывать на эксплуатацию:

• Аномальные исходящие письма с нестандартными заголовками или адресами получателей.
  
• Журналы почтового сервера с записями о письмах, содержащих внедренные заголовки (например, Bcc или Reply-To с подозрительными адресами).
  
• Журналы приложения с запросами, содержащими CRLF-последовательности в параметрах, связанных с адресами электронной почты.
  

Как обнаружить атаку​

Для обнаружения атаки рекомендуется:

• Мониторинг исходящей почты на наличие аномальных заголовков или адресов получателей.
  
• Анализ журналов приложения на запросы с CRLF-последовательностями в параметрах, связанных с адресами электронной почты.
  
• Регулярный аудит конфигурации почтового сервера для выявления аномальных правил маршрутизации писем.
  

Специфичные сигнатуры для IDS/IPS в источниках не предоставлены.

Как проверить свою версию​

Для проверки версии пакета php-laravel-framework в Debian используйте следующие команды. Замените <имя-пакета> на php-laravel-framework.

cat /etc/debian_version
cat /etc/os-release
apt-cache policy php-laravel-framework
dpkg-query -W -f='${Package} ${Version}\n' php-laravel-framework

Сравните полученную версию с данными из Debian Security Tracker. Если версия совпадает с уязвимой (например, 8.83.26+dfsg-2 для bookworm), система подвержена риску.

Исправление​

Официального исправления от Debian на момент публикации статьи не существует. Статус уязвимости во всех ветках — open. Рекомендуемые действия:

• Обновление до исправленной версии Laravel (12.60.0 или 13.10.0) через composer, если это возможно в вашем стеке.
  
• Мониторинг Debian Security Tracker на появление патча для пакета php-laravel-framework.
  
• Временные меры защиты (см. раздел ниже), если обновление невозможно.
  

Временные меры защиты​

До выпуска официального патча Debian рекомендуется:

• Валидация адресов на стороне приложения с использованием строгого регулярного выражения, исключающего CRLF-последовательности.
  
• Использование прокси-сервера для фильтрации входящих запросов с подозрительными последовательностями символов.
  
• Ограничение отправки писем только на доверенные домены, если бизнес-логика это позволяет.
  
• Мониторинг исходящей почты на аномальные заголовки и адреса получателей.
  

Как проверить устранение уязвимости​

После применения временных мер или обновления Laravel проверьте:

• Работоспособность отправки писем на тестовые адреса.
  
• Отсутствие CRLF-последовательностей в журналах приложения при отправке писем.
  
• Корректность заголовков исходящих писем (отсутствие внедренных заголовков).
  

Если аномалии обнаружены, откатите изменения и пересмотрите стратегию защиты.

Вывод​

CVE-2026-48019 представляет серьезный риск для приложений на Laravel, использующих пользовательские адреса для отправки почты. В Debian исправление пока не выпущено, что требует от администраторов принятия временных мер защиты. Регулярный мониторинг Debian Security Tracker и обновление зависимостей через composer являются ключевыми шагами для снижения риска.

Официальные источники​

1. NVD — CVE-2026-48019
   
2. Debian Security Tracker — CVE-2026-48019
   
3. FIRST EPSS — CVE-2026-48019
   

История обновлений статьи​

• 09.09.2026 — Опубликована первая версия материала.