CVE-2017-16894

Wysokie

Opublikowano: 20/11/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W frameworku Laravel do wersji 5.5.21, zdalni atakujący mogą uzyskać dostęp do wrażliwych informacji, takich jak hasła, poprzez bezpośrednie żądanie do URI /.env. Problem dotyczy funkcji writeNewEnvironmentFileWith, która nie ogranicza uprawnień pliku .env.

Ocena ryzyka

Organizacja może być narażona na wyciek wrażliwych danych, co może prowadzić do nieautoryzowanego dostępu do systemów i zasobów.

Rekomendacja

Zaleca się zaktualizowanie frameworka Laravel do najnowszej wersji oraz zabezpieczenie pliku .env poprzez odpowiednie ustawienia uprawnień.

Inne podatności w Laravel framework

CVE-2018-15133WysokieAktywnie exploitowane
W Laravel Framework do wersji 5.5.40 oraz 5.6.x do 5.6.29 może wystąpić zdalne wykonanie kodu w wyniku wywołania unserialize na potencjalnie niezaufanej wartości X-XSRF-TOKEN. Dotyczy to metody decrypt w Illuminate/Encryption/Encrypter.php oraz PendingBroadcast w gadgetchains/Laravel/RCE/3/chain.php w phpggc. Atakujący musi znać klucz aplikacji, co normalnie nie powinno mieć miejsca, ale może się zdarzyć, jeśli wcześniej miał uprzywilejowany dostęp lub przeprowadził skuteczny atak.

Oryginalny opis (angielski, źródło NVD)

In Laravel framework through 5.5.21, remote attackers can obtain sensitive information (such as externally usable passwords) via a direct request for the /.env URI. NOTE: this CVE is only about Laravel framework's writeNewEnvironmentFileWith function in src/Illuminate/Foundation/Console/KeyGenerateCommand.php, which uses file_put_contents without restricting the .env permissions. The .env filename is not used exclusively by Laravel framework.