Почніть вводити, щоб шукати по статтях, вакансіях, компаніях, проєктах, ресурсах, пакетах, подіях і користувачах.
Статті, новини, туторіали та переклади від учасників спільноти
Boost 2.10.4 прибрав MCP-інструмент application-info і отримав команду boost:index-rules. Laravel MCP 1.1.x посилив OAuth-захист, а AI SDK 1.3.0 обриває завантаження віддалених файлів на 100 МБ.
Заголовок Cache-Control з рядом пробілів змушує symfony/http-foundation витрачати майже секунду CPU на кожен запит, без автентифікації. Виправлення - 5.4.54, 6.4.48, 7.4.21 і 8.1.9. Паралельно PhpSpreadsheet, на якому працює Laravel Excel, закрив обхід XmlScanner і DoS через ODS у версіях 5.10.0 і 1.30.7.
Фолькер Душ із Ecosystem Security Team PHP Foundation розповів Laravel News, як знайшли CVE-2026-109618 і CVE-2026-109619, чому виправлення координували з дистрибутивами, хмарами й Cloudflare і хто зламав ембарго. Oh Dear показав, як це виглядало ззовні: на піку лежали 18,8% сайтів, які він моніторить.
Потрібні надійні вимоги до пароля?
Готовий клас-правило Password закриває це.
Можливості:
Laravel 11:
Illuminate\Validation\Rules\Password
Порада: задайте дефолти в AppServiceProvider.
use Illuminate\Validation\Rules\Password;
public function rules()
{
return [
'password' => [
'required',
'confirmed',
Password::min(8)
->letters()
->mixedCase()
->numbers()
->symbols()
->uncompromised(),
],
];
}
Filament v5.11.0 дозволяє писати власні поля форм, компоненти схем і віджети на React, Vue, Svelte або чистому JavaScript. Паралельно v5.11.0 і v4.16.0 закривають для клієнта внутрішні Livewire-методи та стан і додають опційні ліміти для репітерів і пагінації таблиць.
Livewire 4.4.8 виправляє GHSA-mhf7-xp6r-6qrc (CVSS 6.5): атрибут #[Authorize] можна було обійти й виконати дію над чужим записом. Того ж тижня NativePHP опублікувала сім попереджень для NativePHP for Mobile - виправлення в nativephp/mobile 4.6.1 і 3.3.11, але до користувачів вони дійдуть лише з новою збіркою застосунку.
PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 закривають CVE-2026-109618 і CVE-2026-109619 - дві вразливості з віддаленим виконанням коду без автентифікації, CVSS v4.0 9.2. Під загрозою PHP-FPM, mod_php, php-cgi, FrankenPHP і LiteSpeed. Розбираємо, як оновитися, що дають тимчасові заходи і що перевірити в Laravel-проєкті.
GHSA-f9x3-7vq9-cph6 (CVSS 9.2): на MySQL і MariaDB guard з драйвером token дозволяв увійти як будь-який наявний користувач, передавши токен не рядком. Виправлено в Laravel 13.29.0 і 12.68.0. Того ж дня Laravel опублікував і другу вразливість - у JSON:API Resources.
Матеріали за темою «безпека»: усе, що ми писали про це українською. Нижче - суміжні теми, якщо шукаєте ширше.
Зараз опубліковано 37 матеріалів від 3 авторів. Останній матеріал - 30 жовтня 2026.