重點整理
- Laravel 框架出現嚴重漏洞，駭客可繞過驗證直接登入系統。
- 使用 MySQL 資料庫且採用 Token 驗證的網站受影響最大。
- 另一個中等漏洞讓唯讀權限也能刪除資料，資安風險不容小覷。
- 企業主應立即要求技術團隊更新框架版本，並盤點網站後端設定。
許多中小企業的官方網站、會員系統或內部管理平台，都是使用 Laravel 這個熱門的網站後端程式框架開發的。Laravel 能幫助工程師快速建構穩定的網站，但近期它卻爆出嚴重的安全漏洞。如果沒有及時處理，駭客可能不需要知道密碼，就能直接登入您的系統帳號，甚至刪除重要資料。這篇文章將用白話文帶您了解這次漏洞的影響，以及身為企業主應該採取的行動。
Laravel 爆出嚴重漏洞：駭客可免密碼登入系統
這次被通報的是一個嚴重等級的漏洞（CVSS 評分高達 9.2），問題出在 Laravel 的 Token Guard 驗證機制上。簡單來說，API Token 就像是系統發給使用者的一組數位通行證，用來確認登入者的身分。
在特定的資料庫設定下（主要是 MySQL 與 MariaDB 這兩種常見的關聯式資料庫），系統在檢查這張通行證時出了錯。攻擊者可以提交一段特殊設計的資料，讓系統誤判，進而繞過驗證，直接假裝成系統裡的既有使用者登入。這意味著，只要您的網站使用了這種驗證方式，駭客就能輕易接管受保護的網頁或功能。
好消息是，這個漏洞只影響使用原生 Token 驗證驅動的系統，如果您使用的是 Sanctum 或 Passport 等其他驗證套件，則不在這次的影響範圍內。目前官方已經在 12.68.0 與 13.29.0 版本中修復了這個問題，加入了嚴格的資料格式檢查來阻擋惡意攻擊。
另一個隱藏危機：唯讀權限也能刪除資料
除了嚴重的登入漏洞，同一天還公布了另一個中等嚴重程度（CVSS 評分 6.5）的漏洞，影響 Laravel 的 JSON:API 資源功能。JSON:API 是一種讓不同系統之間交換資料的標準格式。
這個漏洞的可怕之處在於，原本只有讀取權限的請求，因為程式處理資料關聯時的瑕疵，竟然可以被惡意改寫成刪除資料的指令。也就是說，即使您已經做好了權限控管，限制某些帳號只能看資料，駭客仍可能利用這個漏洞清空相關的資料庫表單。官方同樣在後續版本中修正了資料載入的邏輯，阻斷了這種破壞性操作。
非工程師的企業主，現在該怎麼辦？
看到這裡，您可能會覺得這些程式碼層面的問題離自己很遠。但作為企業主，網站的安全就是公司的資產安全。您不需要親自去改程式碼，但必須採取以下管理行動：
- 立即通知技術團隊或外包商：請他們確認網站使用的 Laravel 框架版本，並盡快更新至 12.68.0、13.29.0 或更高的安全版本。
- 盤點網站的驗證機制：請技術人員檢查系統設定，確認是否使用了原生的 Token 驗證，並評估資料庫是否為 MySQL 或 MariaDB，以確定受影響的範圍。
- 執行套件安全檢查：要求團隊執行系統內建的安全審計工具，確認網站使用的所有第三方套件都沒有已知的安全漏洞。
崴米的建議
網站上線從來不是專案的結束，而是長期營運的開始。面對層出不窮的資安威脅，我們建議您可以從以下幾個方向來強化網站的防護力：
- 建立定期的系統健檢與維護機制：不要等到出包才找人修。將網站的框架更新、安全監控與備份交給專業團隊處理，確保系統隨時保持在最新且安全的狀態。您可以了解我們的 網站代管維護與主機監看 服務，讓上線後的網站有專人照顧。
- 正視老舊網站的升級風險：如果您的網站已經很久沒有更新，後端框架版本過舊，可能會面臨想升級卻怕系統壞掉的窘境。若原廠商已聯絡不上，或系統結構老舊難以維護，建議尽早評估 網站改版與搬家，用現代化的技術重建，從根本上解決資安與維護難題。
參考來源：Critical Token Guard Auth Bypass Fixed in Laravel 13.29 and 12.68
