Spatie Laravel Media Library contains a file upload restrict…(CVE-2026-48557・CVSS 8.8)

概要

Spatie Laravel Media Library contains a file upload restriction bypass

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Spatie Laravel Media Library before version 11.23.0 contains a file upload restriction bypass in FileAdder::defaultSanitizer(). The sanitizer checks only the final filename suffix, allowing double-extension filenames such as shell.php.jpg to bypass the blocklist, with pathinfo() preserving inner .php stems in saved filenames. The blocklist also omits executable extensions including .php6, .shtml, and .htaccess. The double-extension bypass requires a legacy Apache AddHandler configuration to achieve PHP execution; the incomplete blocklist bypass does not.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Spatie Laravel Media Libraryのバージョン11.23.0未満には、FileAdder::defaultSanitizer()におけるファイルアップロード制限の迂回の脆弱性があります。サニタイザは最終的なファイル名の拡張子のみをチェックし、.php6や.shtmlなどの実行可能拡張子を除外しています。

❓ 何が問題か

ファイルアップロード制限の迂回が可能になる脆弱性。

📍 影響範囲

Spatie Laravel Media LibraryのFileAdder::defaultSanitizer()

🔥 重要度

Double-extensionファイルがサニタイザを回避できることで、悪意あるファイルが実行可能になる可能性があります。

🔧 修正方法

バージョン11.23.0以上にアップデートしてください。

🛡️ 暫定回避

不完全なブロックリストを修正するか、適切なサーバー設定を確認する。

🔍 検知方法

ファイルアップロードの挙動およびサーバーログをチェックして異常を検出する。

影響パッケージ

composer spatie/laravel-medialibrary

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"11.23.0"}]}]

Packagist spatie/laravel-medialibrary

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"11.23.0"}]}]