Vulnérabilité dans spatie/laravel-medialibrary (CVE-2026-48557)
Résumé
Vulnérabilité dans spatie/laravel-medialibrary (CVE-2026-48557). L'exploitation peut entraîner la prise de contrôle totale du système. Atténuation : mise à jour vers 11.23.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Spatie Laravel Media Library before version 11.23.0 contains a file upload restriction bypass in FileAdder::defaultSanitizer(). The sanitizer checks only the final filename suffix, allowing double-extension filenames such as shell.php.jpg to bypass the blocklist, with pathinfo() preserving inner .php stems in saved filenames. The blocklist also omits executable extensions including .php6, .shtml, and .htaccess. The double-extension bypass requires a legacy Apache AddHandler configuration to achieve PHP execution; the incomplete blocklist bypass does not.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-48557 a été découverte dans laravel.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « laravel CVE-2026-48557 » sur le site de l'éditeur.
CVE-2026-48557 (laravel) — CWE-184 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
ファイルアップロード制限の迂回が可能になる脆弱性。
Spatie Laravel Media LibraryのFileAdder::defaultSanitizer()
Double-extensionファイルがサニタイザを回避できることで、悪意あるファイルが実行可能になる可能性があります。
バージョン11.23.0以上にアップデートしてください。
不完全なブロックリストを修正するか、適切なサーバー設定を確認する。
ファイルアップロードの挙動およびサーバーログをチェックして異常を検出する。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com