CVE-2026-4809
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 67 - wyżej niż 67% wszystkich znanych CVE
Streszczenie
Biblioteka plank/laravel-mediable do wersji 6.4.0 umożliwia przesyłanie niebezpiecznych typów plików, gdy aplikacja akceptuje typ MIME dostarczony przez klienta. Zdalny atakujący może przesłać plik z kodem PHP, deklarując nieszkodliwy typ MIME obrazu, co prowadzi do dowolnego przesyłania plików.
Ocena ryzyka
Ryzyko wykonania złośliwego kodu na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją i serwerem, a także do naruszenia danych.
Rekomendacja
Zaktualizuj bibliotekę do wersji, która nie zawiera tej podatności. Dodatkowo wymuszaj walidację typów plików po stronie serwera, niezależnie od deklarowanego MIME.
Oryginalny opis (angielski, źródło NVD)
plank/laravel-mediable through version 6.4.0 can allow upload of a dangerous file type when an application using the package accepts or prefers a client-supplied MIME type during file upload handling. In that configuration, a remote attacker can submit a file containing executable PHP code while declaring a benign image MIME type, resulting in arbitrary file upload.