CVE-2026-49971
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Laravel-Mediable przed wersją 7.0.0 zawiera podatność na trwały atak XSS, umożliwiającą uwierzytelnionym lub anonimowym użytkownikom wykonanie dowolnego kodu JavaScript poprzez przesłanie niesanityzowanych plików SVG z osadzonymi skryptami w atrybutach onload, znacznikach script lub elementach foreignObject.
Ocena ryzyka
Atakujący mogą przechowywać trwałe ładunki XSS w przesłanych plikach SVG, które wykonują się z pełnym dostępem do DOM podczas otwierania lub podglądu pliku przez ofiarę, co umożliwia kradzież ciasteczek sesji, przechwycenie tokenów CSRF i przejęcie konta.
Rekomendacja
Należy natychmiast zaktualizować Laravel-Mediable do wersji 7.0.0 lub nowszej oraz wdrożyć walidację i sanityzację przesyłanych plików SVG, blokując niebezpieczne elementy i atrybuty.
Inne podatności w Laravel-Mediable
Zobacz wszystkie- CVE-2026-49972Wysokie
W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność umożliwiającą nieuwierzytelnionym atakującym zdalne wykonanie kodu poprzez przesłanie pliku z podwójnym rozszerzeniem, np. shell.php.jpg. Funkcja PATHINFO_FILENAME wyodrębnia wewnętrzne rozszerzenie .php, a na nieprawidłowo skonfigurowanych serwerach Apache lub nginx plik jest interpretowany jako kod PHP, podczas gdy walidacja MIME i rozszerzeń przepuszcza go z powodu zewnętrznego .jpg.
- CVE-2026-49970Wysokie
W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność na path traversal w funkcji File::sanitizePath(). Pozwala ona atakującemu na zapisywanie przesłanych plików w dowolnych lokalizacjach poprzez kontrolowanie argumentu katalogu przekazanego do MediaUploader::toDestination().
- CVE-2026-49969Wysokie
Laravel-Mediable przed wersją 7.0.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona zdalnemu atakującemu wysyłanie dowolnych żądań HTTP z serwera poprzez dostarczenie niesprawdzonych adresów URL do endpointów korzystających z MediaUploader::fromSource().
Oryginalny opis (angielski, źródło NVD)
Laravel-Mediable before 7.0.0 contains a stored cross-site scripting vulnerability that allows authenticated or anonymous users to execute arbitrary JavaScript by uploading unsanitized SVG files containing embedded scripts in onload event handlers, script tags, or foreignObject elements. Attackers can store persistent XSS payloads in uploaded SVG files that execute with full DOM access when victims open or preview the file, enabling session cookie theft, CSRF token capture, and account takeover.