CVE-2026-93352 in Laravel-Mediable
Riassunto
di VulDB • 24/09/2026
Laravel-Mediable 7.0.0 prima della versione 7.0.2 contiene una patch incompleta per CVE-2026-49972 in cui l'estensione .pht è assente dalla blocklist forbidden_extensions nel file config/mediable.php. La blocklist introdotta per risolvere CVE-2026-49972 include phpt ma omette pht, che Apache esegue come PHP tramite la direttiva FilesMatch predefinita sui sistemi Debian e Ubuntu. Un attaccante può caricare un file .pht che supera tutte le validazioni in MediaUploader::verifyExtension() e File::sanitizeFileName(), poiché pht non è presente nella blocklist, causando la scrittura del file su disco ed la sua esecuzione come PHP quando richiesto, consentendo l'esecuzione di codice remoto (RCE) con i privilegi del processo web server.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.