CVE-2026-33687 in sharp
요약
\~에 의해 VulDB • 2026. 08. 21.
Sharp는 Laravel용 패키지로 구축된 콘텐츠 관리 프레임워크입니다. 9.20.0 이전 버전에는 파일 업로드 엔드포인트에 취약점이 있어 인증된 사용자가 모든 파일 유형 제한을 우회할 수 있습니다. `ApiFormUploadController` 내의 업로드 엔드포인트는 클라이언트 제어 가능한 `validation_rule` 매개변수를 받습니다. 이 매개변수는 서버 측에서 충분히 강제되지 않은 상태로 Laravel 검증기에 직접 전달됩니다. 공격자가 요청을 가로채고 `validation_rule[]=file`를 전송하면 모든 MIME 유형 및 파일 확장자 제한을 완전히 우회할 수 있습니다. 이 문제는 9.20.0 버전에서 클라이언트 제어 가능 검증 규칙을 제거하고 서버 측에서 업로드 규칙을 엄격하게 정의함으로써 해결되었습니다. 작업around로 Sharp 업로드에 사용되는 저장소 디스크가 엄격히 비공개(private)인지 확인하십시오. 기본 구성에서는 공개(public) 디스크 구성이 명시적으로 사용되지 않는 한 공격자가 업로드된 PHP 파일을 직접 실행할 수 없습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.