CVE-2026-49972
Açıklama
7.0.0 öncesindeki Laravel-Mediable, kimliği doğrulanmamış saldırganların shell.php.jpg gibi çift uzantı şeklinde gizlenmiş gömülü bir PHP uzantısına sahip dosya yükleyerek uzaktan kod çalıştırma gerçekleştirmesine olanak tanıyan bir dosya yükleme zafiyeti içermektedir. PATHINFO_FILENAME ayıklaması, temel adındaki dahili .php uzantısını korur ve .php içeren herhangi bir dosya adını PHP olarak çalıştıran yanlış yapılandırılmış Apache veya nginx sunucularında; dıştaki .jpg uzantısı nedeniyle tüm MIME türü, uzantı ve toplu tür doğrulama kontrolleri geçilirken, depolanan dosya yürütülebilir kod olarak yorumlanır.
Nasıl düzeltilir
- plank laravel-mediable7.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plank laravel-mediable | v < 7.0.0 | 7.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.