CVE-2025-63307
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Aplikacja alexusmai laravel-file-manager w wersji 3.3.1 jest podatna na Cross Site Scripting (XSS). Aplikacja pozwala użytkownikom na przesyłanie, tworzenie i zmienianie nazw plików typu HTML i SVG, a następnie serwuje je bezpośrednio bez odpowiedniej walidacji typu zawartości i sanityzacji wyjścia.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych uwierzytelniających.
Rekomendacja
Zaktualizuj bibliotekę do wersji zawierającej poprawkę lub wdroż dodatkową walidację i sanityzację przesyłanych plików.
Inne podatności w laravel-file-manager
Zobacz wszystkie- CVE-2025-65345Średnie
alexusmai laravel-file-manager w wersji 3.3.1 i starszych jest podatny na przejście katalogowe (Directory Traversal). Funkcjonalność archiwizacji ZIP pozwala atakującemu tworzyć archiwa zawierające pliki i katalogi poza zamierzonym zakresem z powodu niewłaściwej walidacji ścieżek.
- CVE-2025-56399Wysokie
W bibliotece laravel-file-manager w wersji 3.3.1 i wcześniejszych, uwierzytelniony atakujący może przesłać plik .png z kodem PHP, który mimo błędu walidacji po stronie klienta zostaje zapisany na serwerze. Następnie, używając API do zmiany nazwy, atakujący zmienia rozszerzenie na .php, co umożliwia zdalne wykonanie kodu (RCE).
Oryginalny opis (angielski, źródło NVD)
alexusmai laravel-file-manager 3.3.1 is vulnerable to Cross Site Scripting (XSS). The application permits user-controlled upload, create, and rename of files to HTML and SVG types and serves those files inline without adequate content-type validation or output sanitization.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS