Resumen: Laravel Socialite, proveedor de autenticación de Facebook, permite a atacantes no autenticados reproducir tokens OIDC capturados, explotando la ausencia de validación de firma. Se requiere acción inmediata.
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-73683 | PHP Group | PHP | 2026-08-14 | CRITICAL | 9.2 | 205 | Actualizar Laravel Socialite a la versión más reciente que corrige la vulnerabilidad |
Qué es la vulnerabilidad
Laravel Socialite es una librería de PHP que facilita la autenticación con proveedores externos, como Facebook. La vulnerabilidad descrita permite a atacantes no autenticados reproducir tokens OIDC (OpenID Connect) capturados durante una sesión legítima, ya que el proveedor de Facebook no valida correctamente la firma del token. Esta omisión permite que un atacante reenvíe el token sin necesidad de credenciales, obteniendo acceso a recursos protegidos.
Productos y versiones vulnerables
| Producto | Versión | Estado de parche |
|---|---|---|
| Laravel Socialite Facebook provider | No publicado por las fuentes consultadas | No publicado por las fuentes consultadas |
Impacto y riesgo
El riesgo principal es la obtención de tokens de acceso válidos sin autenticación, lo que permite a atacantes acceder a cuentas de usuarios y a recursos protegidos. El impacto puede ser crítico en aplicaciones que dependan de la autenticación de Facebook para autorización de usuarios, especialmente en entornos de producción con datos sensibles.
Estado de explotación conocida
No publicado por las fuentes consultadas. No se dispone de evidencia de explotación activa en producción.
Indicadores de compromiso (IOC)
No publicado por las fuentes consultadas.
Cómo comprobar si estás afectado
Revisa la versión de Laravel Socialite instalada en tu proyecto. Si utilizas una versión que incluya el proveedor de Facebook, verifica si la firma del token OIDC se valida correctamente. Busca en la documentación oficial de Laravel Socialite o en el código fuente la función que valida la firma del token.
Mitigación y actualización
Actualiza Laravel Socialite a la última versión disponible que incluya la corrección de la validación de firma del token OIDC. Si no existe una versión parcheada, considera eliminar el proveedor de Facebook o implementar una capa adicional de validación de tokens en tu aplicación.
Checklist para administradores
- ☐ Identificar si tu proyecto utiliza Laravel Socialite con el proveedor de Facebook.
- ☐ Verificar la versión instalada.
- ☐ Revisar la documentación oficial para la validación de tokens OIDC.
- ☐ Aplicar la actualización recomendada.
- ☐ Realizar pruebas de autenticación después de la actualización.
- ☐ Monitorear logs de autenticación en busca de patrones inusuales.
Preguntas frecuentes
- ¿Qué es Laravel Socialite? Laravel Socialite es una librería de PHP que simplifica la autenticación con proveedores externos como Facebook, Google o Twitter.
- ¿Cómo afecta esta vulnerabilidad a mi aplicación? Si tu aplicación permite autenticación con Facebook a través de Laravel Socialite, un atacante puede obtener tokens válidos sin credenciales, accediendo a recursos protegidos.
- ¿Hay un parche disponible? No publicado por las fuentes consultadas. Se recomienda actualizar a la última versión disponible que incluya la corrección de la validación de firma.
- ¿Cómo puedo comprobar si mi proyecto está afectado? Revisa la versión de Laravel Socialite y verifica la validación de tokens OIDC en el código fuente o documentación.