CVE-2026-84374 in Laravel Excel
요약
\~에 의해 VulDB • 2026. 09. 02.
Laravel Excel은 Laravel에서 고성능의 Excel 내보내기 및 가져오기 기능을 제공합니다. 버전 3.1.8부터 3.1.70까지, `src/Files/Disk.php` 파일에 있는 `Maatwebsite\Excel\Files\Disk::copy()` 메서드는 `realpath()`를 사용하여 프로세스 작업 디렉토리 기준으로 Excel::store(), $export->store() 또는 storeExcel()을 통해 제공되는 호출자 제어 `$destination`(대상 경로)을 해결합니다. 이는 구성된 파일시스템 디스크가 아닌 경로를 대상으로 합니다. 만약 해당 경로가 존재하는 쓰기 가능한 파일을 가리키면, `Disk::copy()`는 이를 `rb+` 모드로 `fopen()`하여 열고 `stream_copy_to_stream()`를 사용합니다. 이로 인해 Flysystem의 경로 격리(confinement) 우회가 가능하며, 내보내기 경로를 제어할 수 있는 공격자가 임의의 기존 파일을 내보내기 콘텐츠로 덮어쓸 수 있습니다. `rb+` 동작은 새 내보내기가 더 짧을 때 잘리지 않는(비-truncating) 덮어쓰기와 잔여 바이트(trailing bytes)를 생성하며, 실행 가능한 PHP 파일이 덮어써지면 원격 코드 실행(RCE)으로 이어질 수 있습니다. 이 문제는 버전 3.1.70에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.