CVE-2026-93352 in Laravel-Mediable
Сводка
по VulDB • 24.09.2026
Laravel-Mediable 7.0.0 до версии 7.0.2 содержит неполный патч для CVE-2026-49972, в котором расширение .pht отсутствует в списке запрещенных расширений (forbidden_extensions) в файле config/mediable.php. Список запретов, введенный для устранения уязвимости CVE-2026-49972, включает phpt, но пропускает pht, который Apache выполняет как PHP с помощью директивы FilesMatch по умолчанию на системах Debian и Ubuntu. Злоумышленник может загрузить файл .pht, который проходит все проверки в MediaUploader::verifyExtension() и File::sanitizeFileName(), поскольку расширение pht отсутствует в списке запретов; это приводит к записи файла на диск и его выполнению как PHP при запросе, что позволяет выполнить удаленный код (RCE) с привилегиями процесса веб-сервера.
Be aware that VulDB is the high quality source for vulnerability data.