Podatności Laravel-Mediable
4 znanych podatności CVE w Laravel-Mediable, przetłumaczonych i ocenionych.
- CVE-2026-49972Wysokie
W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność umożliwiającą nieuwierzytelnionym atakującym zdalne wykonanie kodu poprzez przesłanie pliku z podwójnym rozszerzeniem, np. shell.php.jpg. Funkcja PATHINFO_FILENAME wyodrębnia wewnętrzne rozszerzenie .php, a na nieprawidłowo skonfigurowanych serwerach Apache lub nginx plik jest interpretowany jako kod PHP, podczas gdy walidacja MIME i rozszerzeń przepuszcza go z powodu zewnętrznego .jpg.
- CVE-2026-49971Średnie
Laravel-Mediable przed wersją 7.0.0 zawiera podatność na trwały atak XSS, umożliwiającą uwierzytelnionym lub anonimowym użytkownikom wykonanie dowolnego kodu JavaScript poprzez przesłanie niesanityzowanych plików SVG z osadzonymi skryptami w atrybutach onload, znacznikach script lub elementach foreignObject.
- CVE-2026-49970Wysokie
W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność na path traversal w funkcji File::sanitizePath(). Pozwala ona atakującemu na zapisywanie przesłanych plików w dowolnych lokalizacjach poprzez kontrolowanie argumentu katalogu przekazanego do MediaUploader::toDestination().
- CVE-2026-49969Wysokie
Laravel-Mediable przed wersją 7.0.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona zdalnemu atakującemu wysyłanie dowolnych żądań HTTP z serwera poprzez dostarczenie niesprawdzonych adresów URL do endpointów korzystających z MediaUploader::fromSource().