Podatności Laravel-Mediable

Laravel-Mediable w wersjach 7.0.0 do 7.0.2 zawiera niekompletną poprawkę dla CVE-2026-49972 — rozszerzenie .pht nie zostało dodane do listy zabronionych rozszerzeń w config/mediable.php. Apache na systemach Debian i Ubuntu wykonuje pliki .pht jako PHP, co pozwala atakującemu na przesłanie złośliwego pliku i zdalne wykonanie kodu.

W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność umożliwiającą nieuwierzytelnionym atakującym zdalne wykonanie kodu poprzez przesłanie pliku z podwójnym rozszerzeniem, np. shell.php.jpg. Funkcja PATHINFO_FILENAME wyodrębnia wewnętrzne rozszerzenie .php, a na nieprawidłowo skonfigurowanych serwerach Apache lub nginx plik jest interpretowany jako kod PHP, podczas gdy walidacja MIME i rozszerzeń przepuszcza go z powodu zewnętrznego .jpg.

Laravel-Mediable przed wersją 7.0.0 zawiera podatność na trwały atak XSS, umożliwiającą uwierzytelnionym lub anonimowym użytkownikom wykonanie dowolnego kodu JavaScript poprzez przesłanie niesanityzowanych plików SVG z osadzonymi skryptami w atrybutach onload, znacznikach script lub elementach foreignObject.

W bibliotece Laravel-Mediable przed wersją 7.0.0 wykryto podatność na path traversal w funkcji File::sanitizePath(). Pozwala ona atakującemu na zapisywanie przesłanych plików w dowolnych lokalizacjach poprzez kontrolowanie argumentu katalogu przekazanego do MediaUploader::toDestination().

Laravel-Mediable przed wersją 7.0.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona zdalnemu atakującemu wysyłanie dowolnych żądań HTTP z serwera poprzez dostarczenie niesprawdzonych adresów URL do endpointów korzystających z MediaUploader::fromSource().