CVE-2026-93352 in Laravel-Mediable
Sumário
de VulDB • 23/09/2026
O Laravel-Mediable 7.0.0 até a versão anterior à 7.0.2 contém um patch incompleto para CVE-2026-49972, no qual a extensão .pht está ausente da lista de extensões proibidas (blocklist) em config/mediable.php. A blocklist introduzida para resolver o CVE-2026-49972 inclui phpt, mas omite pht, que é executado como PHP pelo Apache por meio do diretivo FilesMatch padrão em sistemas Debian e Ubuntu. Um atacante pode carregar um arquivo .pht que passa todas as validações em MediaUploader::verifyExtension() e File::sanitizeFileName(), pois pht não está presente na blocklist, fazendo com que o arquivo seja gravado no disco e executado como PHP quando solicitado, permitindo a execução remota de código (RCE) com os privilégios do processo do servidor web.
If you want to get best quality of vulnerability data, you may have to visit VulDB.