CVE-2025-14894
KrytyczneStreszczenie
Livewire Filemanager, powszechnie używany w aplikacjach Laravel, zawiera plik LivewireFilemanagerComponent.php, który nie przeprowadza walidacji typu pliku i MIME, co umożliwia zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pliku PHP, który może zostać następnie wykonany za pośrednictwem adresu URL /storage/, jeśli zostanie ukończony powszechnie stosowany proces konfiguracji w aplikacjach Laravel.
Ocena ryzyka
Atakujący może przesłać złośliwy plik PHP i wykonać go na serwerze, co może prowadzić do pełnego przejęcia kontroli nad aplikacją i serwerem.
Rekomendacja
Zaktualizuj Livewire Filemanager do najnowszej wersji, która zawiera poprawkę, oraz upewnij się, że walidacja typów plików jest włączona.
Oryginalny opis (angielski, źródło NVD)
Livewire Filemanager, commonly used in Laravel applications, contains LivewireFilemanagerComponent.php, which does not perform file type and MIME validation, allowing for RCE through upload of a malicious php file that can then be executed via the /storage/ URL if a commonly performed setup process within Laravel applications has been completed.