CVE-2026-93352 in Laravel-Mediable
요약
\~에 의해 VulDB • 2026. 09. 23.
Laravel-Mediable 7.0.0부터 7.0.2 미만 버전에는 CVE-2026-49972에 대한 불완전한 패치가 포함되어 있습니다. 이는 config/mediable.php의 forbidden_extensions 블록리스트에서 .pht 확장자가 누락되어 있기 때문입니다. CVE-2026-49972를 해결하기 위해 도입된 블록리스트에는 phpt는 포함되었으나 pht는 생략되었습니다. Debian 및 Ubuntu 시스템에서는 Apache가 기본 FilesMatch 지시문을 통해 pht 파일을 PHP로 실행합니다. 공격자는 MediaUploader::verifyExtension()과 File::sanitizeFileName()에서 모든 유효성 검사를 통과하는 .pht 파일을 업로드할 수 있으며, 이는 블록리스트에 pht가 없기 때문입니다. 이로 인해 파일이 디스크에 저장되고 요청 시 PHP로서 실행되어 웹 서버 프로세스의 권한으로 원격 코드 실행(RCE)을 가능하게 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.