CVE-2026-84374 in Laravel Excel
要約
〜によって VulDB • 2026年09月02日
Laravel Excelは、Laravelにおいて強化されたExcelのエクスポートおよびインポート機能を提供します。バージョン3.1.8から3.1.70の間、`src/Files/Disk.php`内の`Maatwebsite\Excel\Files\Disk::copy()`メソッドは、`realpath()`を使用して、`Excel::store()`、`$export->store()`、または`storeExcel()`を通じて提供される呼び出し元制御の `$destination` を、設定されたファイルシステムディスクではなくプロセスの作業ディレクトリに対して解決します。もしそのパスが既存で書き込み可能なファイルを指している場合、`Disk::copy()`は `rb+` モードで `fopen()` を用いてそれを開き、`stream_copy_to_stream()`を使用することでFlysystemのパス制限を回避し、エクスポートパスに対するアプリケーション入力を制御できる攻撃者が、任意の既存ファイルにエクスポートコンテンツを上書きすることを可能にします。この `rb+` の動作により、新しいエクスポートが短い場合、切り捨てられない上書きと末尾のバイトが生じ、実行可能なPHPファイルの上書きはリモートコード実行（RCE）につながる可能性があります。本問題はバージョン3.1.70で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.