漏洞关键信息 漏洞描述 漏洞类型: 不安全的反序列化 (CWE-502) 严重性: 严重 (9.8) 影响: 当启用横向扩展 (REVERB_SCALING_ENABLED=true) 时，此漏洞影响 Laravel Reverb 版本 <1.7.0。 风险: 远程代码执行 (RCE) 原因: Reverb 通过 Redis PubSub 通信，之前直接将 Redis 通道的数据传递给 PHP 的 unserialize() 函数，导致不受限制的类实例化。 修复方法 修复版本: Laravel Reverb v1.7.0 建议: 立即更新依赖到 临时措施 如果无法升级到 v1.7.0，应采取以下缓解措施： Redis 安全: 使用强密码保护 Redis 访问，并确保服务仅通过私有网络或本地回环访问。 禁用扩展: 只使用一个 Reverb 节点时，设置 以完全避开脆弱逻辑。 引用 CWE-502: 反序列化不受信任的数据 Laravel Reverb 文档: 扩展 报告者 此漏洞由 Mohammad Yaser Abo-Elmaaty @m0h4mmad 发现并负责任地报告。