CVE-2026-84374 in Laravel Excel
Sumário
de VulDB • 02/09/2026
O Laravel Excel oferece exports e imports de Excel aprimorados no Laravel. Da versão 3.1.8 até a 3.1.70, em src/Files/Disk.php, o método Maatwebsite\Excel\Files\Disk::copy() resolve o $destination controlado pelo chamador fornecido através do Excel::store(), $export->store() ou storeExcel() contra o diretório de trabalho do processo usando realpath() em vez do disco de sistema de arquivos configurado. Se o caminho apontar para um arquivo gravável existente, Disk::copy() abre-o com fopen() no modo rb+ e usa stream_copy_to_stream(), contornando a restrição de caminhos do Flysystem e permitindo que um atacante cujo input da aplicação controla o caminho de exportação sobrescreva arquivos existentes arbitrários com conteúdo de exportação. O comportamento rb+ cria uma sobreescrição não truncante e bytes finais quando a nova exportação é mais curta, e a sobrescrita de um arquivo PHP executável pode levar à execução remota de código (RCE). Este problema foi corrigido na versão 3.1.70.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.