CVE-2026-93352 in Laravel-Mediable
Zusammenfassung
von VulDB • 24.09.2026
Laravel-Mediable 7.0.0 vor Version 7.0.2 enthält eine unvollständige Korrektur für CVE-2026-49972, bei der die Erweiterung .pht aus der Blockliste forbidden_extensions in config/mediable.php fehlt. Die zur Behebung von CVE-2026-49972 eingeführte Blockliste umfasst phpt, lässt jedoch pht außer Acht, das auf Debian- und Ubuntu-Systemen über die standardmäßige FilesMatch-Direktive als PHP ausgeführt wird. Ein Angreifer kann eine .pht-Datei hochladen, die alle Validierungen in MediaUploader::verifyExtension() und File::sanitizeFileName() besteht, da pht nicht in der Blockliste enthalten ist. Dies führt dazu, dass die Datei auf der Festplatte gespeichert und bei Anforderung als PHP ausgeführt wird, was Remote Code Execution mit den Berechtigungen des Webserver-Prozesses ermöglicht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.