CVE-2025-56399
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W bibliotece laravel-file-manager w wersji 3.3.1 i wcześniejszych, uwierzytelniony atakujący może przesłać plik .png z kodem PHP, który mimo błędu walidacji po stronie klienta zostaje zapisany na serwerze. Następnie, używając API do zmiany nazwy, atakujący zmienia rozszerzenie na .php, co umożliwia zdalne wykonanie kodu (RCE).
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad serwerem przez atakującego, który może wykonywać dowolne polecenia, kraść dane lub instalować złośliwe oprogramowanie.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę laravel-file-manager do najnowszej wersji oraz wdrożyć walidację plików po stronie serwera, blokującą przesyłanie plików z niebezpiecznymi rozszerzeniami.
Inne podatności w laravel-file-manager
Zobacz wszystkie- CVE-2025-65345Średnie
alexusmai laravel-file-manager w wersji 3.3.1 i starszych jest podatny na przejście katalogowe (Directory Traversal). Funkcjonalność archiwizacji ZIP pozwala atakującemu tworzyć archiwa zawierające pliki i katalogi poza zamierzonym zakresem z powodu niewłaściwej walidacji ścieżek.
- CVE-2025-63307Wysokie
Aplikacja alexusmai laravel-file-manager w wersji 3.3.1 jest podatna na Cross Site Scripting (XSS). Aplikacja pozwala użytkownikom na przesyłanie, tworzenie i zmienianie nazw plików typu HTML i SVG, a następnie serwuje je bezpośrednio bez odpowiedniej walidacji typu zawartości i sanityzacji wyjścia.
Oryginalny opis (angielski, źródło NVD)
alexusmai laravel-file-manager 3.3.1 and before allows an authenticated attacker to achieve Remote Code Execution (RCE) through a crafted file upload. A file with a '.png` extension containing PHP code can be uploaded via the file manager interface. Although the upload appears to fail client-side validation, the file is still saved on the server. The attacker can then use the rename API to change the file extension to `.php`, and upon accessing it via a public URL, the server executes the embedded code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS