CVE-2026-93352
Açıklama
7.0.2 öncesindeki Laravel-Mediable 7.0.0 sürümü, config/mediable.php içerisindeki forbidden_extensions engelleme listesinde .pht uzantısının eksik olması nedeniyle CVE-2026-49972 için tamamlanmamış bir yama içermektedir. CVE-2026-49972'yi gidermek için getirilen engelleme listesi phpt uzantısını içerirken pht uzantısını atlamıştır; oysa Apache, Debian ve Ubuntu sistemlerde varsayılan FilesMatch direktifi aracılığıyla pht uzantılı dosyaları PHP olarak yürütür. Bir saldırgan, pht uzantısı engelleme listesinde bulunmadığı için MediaUploader::verifyExtension() ve File::sanitizeFileName() fonksiyonlarındaki tüm doğrulamaları geçen bir .pht dosyası yükleyebilir; bu durum dosyanın diske yazılmasına ve talep edildiğinde PHP olarak yürütülmesine yol açarak web sunucu işlemi ayrıcalıklarıyla uzaktan kod çalıştırmaya olanak tanır.
Nasıl düzeltilir
- plank laravel-mediable7.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plank laravel-mediable | 7.0.0 ≤ v < 7.0.2 | 7.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.