CVE-2026-48557

WysokieCVSS 8.8

Opublikowano: 29/05/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

Spatie Laravel Media Library przed wersją 11.23.0 zawiera podatność ominięcia ograniczeń przesyłania plików w FileAdder::defaultSanitizer(). Sanitizer sprawdza tylko końcowe rozszerzenie nazwy pliku, co pozwala na użycie podwójnych rozszerzeń, takich jak shell.php.jpg, aby ominąć blokadę, a pathinfo() zachowuje wewnętrzne .php w zapisanych nazwach. Lista blokad pomija również rozszerzenia wykonywalne, w tym .php6, .shtml i .htaccess. Ominięcie przez podwójne rozszerzenie wymaga starszej konfiguracji Apache AddHandler do wykonania PHP; ominięcie niekompletnej listy blokad nie wymaga dodatkowych warunków.

Ocena ryzyka

Ryzyko obejmuje możliwość przesyłania złośliwych plików PHP, co może prowadzić do zdalnego wykonania kodu na serwerze.

Rekomendacja

Zaleca się aktualizację Spatie Laravel Media Library do wersji 11.23.0 lub nowszej oraz unikanie używania AddHandler w Apache.

Inne podatności w Spatie Laravel Media Library

CVE-2026-48555Wysokie
Spatie Laravel Media Library przed wersją 11.23.0 zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF). Zdalny atakujący może zmusić serwer do wykonania dowolnych wychodzących żądań HTTP, przekazując kontrolowane przez użytkownika adresy URL do metody addMediaFromUrl() w pliku InteractsWithMedia.php.

Oryginalny opis (angielski, źródło NVD)

Spatie Laravel Media Library before version 11.23.0 contains a file upload restriction bypass in FileAdder::defaultSanitizer(). The sanitizer checks only the final filename suffix, allowing double-extension filenames such as shell.php.jpg to bypass the blocklist, with pathinfo() preserving inner .php stems in saved filenames. The blocklist also omits executable extensions including .php6, .shtml, and .htaccess. The double-extension bypass requires a legacy Apache AddHandler configuration to achieve PHP execution; the incomplete blocklist bypass does not.