CVE-2026-49969
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Laravel-Mediable przed wersją 7.0.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona zdalnemu atakującemu wysyłanie dowolnych żądań HTTP z serwera poprzez dostarczenie niesprawdzonych adresów URL do endpointów korzystających z MediaUploader::fromSource().
Ocena ryzyka
Atakujący może wykorzystać tę podatność do skanowania wewnętrznej infrastruktury, odczytywania poufnych plików oraz kradzieży poświadczeń chmurowych, takich jak tokeny IAM z metadanych instancji, co może prowadzić do pełnej kompromitacji środowiska.
Rekomendacja
Należy niezwłocznie zaktualizować Laravel-Mediable do wersji 7.0.0 lub nowszej. Dodatkowo warto wdrożyć walidację URL-i oraz ograniczenia sieciowe uniemożliwiające dostęp do adresów RFC-1918 i interfejsów pętli zwrotnej.
Inne podatności w Laravel-Mediable
Zobacz wszystkie- CVE-2026-49972Wysokie
W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność umożliwiającą nieuwierzytelnionym atakującym zdalne wykonanie kodu poprzez przesłanie pliku z podwójnym rozszerzeniem, np. shell.php.jpg. Funkcja PATHINFO_FILENAME wyodrębnia wewnętrzne rozszerzenie .php, a na nieprawidłowo skonfigurowanych serwerach Apache lub nginx plik jest interpretowany jako kod PHP, podczas gdy walidacja MIME i rozszerzeń przepuszcza go z powodu zewnętrznego .jpg.
- CVE-2026-49971Średnie
Laravel-Mediable przed wersją 7.0.0 zawiera podatność na trwały atak XSS, umożliwiającą uwierzytelnionym lub anonimowym użytkownikom wykonanie dowolnego kodu JavaScript poprzez przesłanie niesanityzowanych plików SVG z osadzonymi skryptami w atrybutach onload, znacznikach script lub elementach foreignObject.
- CVE-2026-49970Wysokie
W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność na path traversal w funkcji File::sanitizePath(). Pozwala ona atakującemu na zapisywanie przesłanych plików w dowolnych lokalizacjach poprzez kontrolowanie argumentu katalogu przekazanego do MediaUploader::toDestination().
Oryginalny opis (angielski, źródło NVD)
Laravel-Mediable before 7.0.0 contains a server-side request forgery vulnerability that allows remote attackers to issue arbitrary HTTP requests from the server by supplying unvalidated caller-controlled URLs to endpoints backed by MediaUploader::fromSource(). Attackers can craft URLs targeting RFC-1918 addresses, loopback interfaces, cloud metadata endpoints, or file:// URIs through RemoteUrlAdapter to reach internal infrastructure, retrieve sensitive files, and exfiltrate cloud credentials such as IAM tokens from instance metadata services.