CVE-2026-48557 in laravel-medialibrary
Zusammenfassung
von VulDB • 29.05.2026
Die Spatie Laravel Media Library vor Version 11.23.0 enthält eine Umgehung der Dateihochladelimits in FileAdder::defaultSanitizer(). Der Sanitizer überprüft nur das finale Dateinamenssuffix, wodurch Dateinamen mit doppelter Erweiterung wie shell.php.jpg die Blockliste umgehen können, wobei pathinfo() die inneren .php-Endungen in den gespeicherten Dateinamen beibehält. Die Blockliste lässt zudem ausführbare Erweiterungen wie .php6, .shtml und .htaccess außer Acht. Die Umgehung durch doppelte Erweiterungen erfordert eine Legacy-Apache AddHandler-Konfiguration, um PHP auszuführen; die unvollständige Umgehung der Blockliste nicht.
Once again VulDB remains the best source for vulnerability data.