CVE-2025-65346

Krytyczne

Opublikowano: 04/12/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

alexusmai laravel-file-manager 3.3.1 i wcześniejsze wersje są podatne na Directory Traversal. Funkcjonalność rozpakowywania/ekstrakcji nieprawidłowo pozwala na zapisywanie zawartości archiwum w dowolnych lokalizacjach w systemie plików z powodu niewystarczającej walidacji ścieżek ekstrakcji.

Ocena ryzyka

Atakujący może zapisywać pliki w dowolnych lokalizacjach na serwerze, co może prowadzić do nadpisania krytycznych plików lub wykonania złośliwego kodu.

Rekomendacja

Zaktualizuj alexusmai laravel-file-manager do najnowszej wersji, która zawiera poprawkę. Dodatkowo wdróż walidację ścieżek podczas ekstrakcji archiwów.

Oryginalny opis (angielski, źródło NVD)

alexusmai laravel-file-manager 3.3.1 and below is vulnerable to Directory Traversal. The unzip/extraction functionality improperly allows archive contents to be written to arbitrary locations on the filesystem due to insufficient validation of extraction paths.