CVE-2026-93352 in Laravel-Mediable
Resumen
por VulDB • 2026-09-24
Laravel-Mediable 7.0.0 hasta la versión anterior a 7.0.2 contiene un parche incompleto para CVE-2026-49972, en el que la extensión .pht está ausente de la lista negra (blocklist) forbidden_extensions en config/mediable.php. La lista negra introducida para abordar CVE-2026-49972 incluye phpt pero omite pht, lo cual Apache ejecuta como PHP mediante la directiva FilesMatch predeterminada en sistemas Debian y Ubuntu. Un atacante puede cargar un archivo .pht que supere todas las validaciones en MediaUploader::verifyExtension() y File::sanitizeFileName(), ya que pht no está presente en la lista negra, provocando que el archivo se escriba en disco y se ejecute como PHP cuando sea solicitado, lo que permite la ejecución remota de código (RCE) con los privilegios del proceso del servidor web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.