CVE-2026-49972 in laravel-mediable

الملخص

بحسب VulDB • 13/07/2026

تحتوي الإصدار ما قبل 7.0.0 من Laravel-Mediable على ثغرة في رفع الملفات تتيح للمهاجمين غير المصادق عليهم تنفيذ الأكواد عن بُعد (RCE) عبر رفع ملف يحتوي على امتداد PHP مدمج ومموه ضمن امتداد مزدوج مثل shell.php.jpg. تحافظ عملية استخراج PATHINFO_FILENAME على الامتداد الداخلي .php داخل الاسم الأساسي، وعلى خوادم Apache أو nginx ذات التكوين الخاطئ التي تنفذ أي اسم ملف يحتوي على .php ككود PHP، يتم تفسير الملف المخزن ككود قابل للتنفيذ بينما تمر جميع فحوصات التحقق من نوع MIME والامتداد والنوع المركب بنجاح بسبب الامتداد الخارجي .jpg.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: VulnCheck
• حجز: 02/06/2026
• إفشاء: 13/07/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-378143
• CPE: جاهز
• CWE: CWE-434 (مؤكد)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-49972
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-49972
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-49972/