CVE-2026-84374 in Laravel Excel
Résumé
par VulDB • 02/09/2026
Laravel Excel propose des exports et imports Excel optimisés pour Laravel. De la version 3.1.8 à la 3.1.70, dans le fichier src/Files/Disk.php, la méthode Maatwebsite\Excel\Files\Disk::copy() résout le chemin $destination contrôlé par l'appelant fourni via Excel::store(), $export->store() ou storeExcel() en utilisant realpath() sur le répertoire de travail du processus plutôt que sur le disque système de fichiers configuré. Si ce nom de pointeur désigne un fichier existant et accessible en écriture, Disk::copy() l'ouvre avec fopen() en mode rb+ et utilise stream_copy_to_stream(), contournant la confinement des chemins imposé par Flysystem et permettant à un attaquant dont les entrées d'application contrôlent le chemin d'exportation de écraser n'importe quel fichier existant arbitraire avec le contenu de l'export. Le comportement rb+ crée une overwrite non tronquante ainsi que des octets en fin de fichier lorsque la nouvelle export est plus courte, et l'écrasement d'un fichier PHP exécutable peut entraîner une exécution de code à distance (RCE). Ce problème est corrigé dans la version 3.1.70.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.