Podatności laravel-file-manager
3 znanych podatności CVE w laravel-file-manager, przetłumaczonych i ocenionych.
- CVE-2025-65345Średnie
alexusmai laravel-file-manager w wersji 3.3.1 i starszych jest podatny na przejście katalogowe (Directory Traversal). Funkcjonalność archiwizacji ZIP pozwala atakującemu tworzyć archiwa zawierające pliki i katalogi poza zamierzonym zakresem z powodu niewłaściwej walidacji ścieżek.
- CVE-2025-63307Wysokie
Aplikacja alexusmai laravel-file-manager w wersji 3.3.1 jest podatna na Cross Site Scripting (XSS). Aplikacja pozwala użytkownikom na przesyłanie, tworzenie i zmienianie nazw plików typu HTML i SVG, a następnie serwuje je bezpośrednio bez odpowiedniej walidacji typu zawartości i sanityzacji wyjścia.
- CVE-2025-56399Wysokie
W bibliotece laravel-file-manager w wersji 3.3.1 i wcześniejszych, uwierzytelniony atakujący może przesłać plik .png z kodem PHP, który mimo błędu walidacji po stronie klienta zostaje zapisany na serwerze. Następnie, używając API do zmiany nazwy, atakujący zmienia rozszerzenie na .php, co umożliwia zdalne wykonanie kodu (RCE).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS