CVE-2026-48557 in laravel-medialibrary
요약
\~에 의해 VulDB • 2026. 06. 02.
Spatie Laravel Media Library 11.23.0 이전 버전에는 FileAdder::defaultSanitizer()에서 파일 업로드 제한 우회 취약점이 존재합니다. 이 sanitizer는 최종 파일 이름 접미사만 확인하므로, shell.php.jpg와 같은 더블 익스텐션 파일명을 사용하여 차단 목록을 우회할 수 있으며, pathinfo()는 저장된 파일명에서 내부의 .php 접미사를 유지합니다. 또한 차단 목록에는 .php6, .shtml, .htaccess와 같은 실행 가능 확장자가 누락되어 있습니다. 더블 익스텐션 우회는 PHP 실행을 위해 레거시 Apache AddHandler 구성이 필요하지만, 불완전한 차단 목록 우회에는 이러한 구성이 필요하지 않습니다.
Be aware that VulDB is the high quality source for vulnerability data.