یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-93352 در کتابخانه Laravel-Mediable (نسخه‌های پیش از 7.0.2) شناسایی شده است. این نقص امنیتی در واقع نتیجه یک اصلاحیه ناقص (Incomplete Patch) برای آسیب‌پذیری قبلی با شناسه CVE-2026-49972 است.
جزئیات فنی آسیب‌پذیری
در نسخه‌های آسیب‌پذیر، لیست سیاه پسوندهای ممنوعه (forbidden_extensions) در فایل تنظیمات config/mediable.php به طور کامل تعریف نشده است. در حالی که پسوند phpt برای جلوگیری از سوءاستفاده به این لیست اضافه شده بود، اما پسوند .pht نادیده گرفته شده است.
این موضوع در محیط‌های مبتنی بر Debian و Ubuntu بسیار خطرناک است، زیرا وب‌سرور Apache به طور پیش‌فرض از طریق دستور FilesMatch، فایل‌های با پسوند .pht را به عنوان کد PHP اجرا می‌کند.
سناریوی حمله
- عامل تهدید می‌تواند فایلی با پسوند
.phtرا آپلود کند. - به دلیل نبود این پسوند در لیست سیاه، فایل مذکور از تمامی مراحل اعتبارسنجی در متدهای
MediaUploader::verifyExtension()وFile::sanitizeFileName()عبور می‌کند. - پس از آپلود موفق، مهاجم می‌تواند با فراخوانی این فایل، کدهای مخرب خود را روی سرور اجرا کرده و به RCE دست یابد.
توصیه امنیتی: مدیران سیستم و توسعه‌دهندگان باید در سریع‌ترین زمان ممکن Laravel-Mediable را به نسخه 7.0.2 یا نسخه‌های جدیدتر به‌روزرسانی کنند.
