plank/laravel-mediable до версии 6.4.0 может разрешить загрузку файлов опасного типа, когда приложение, использующее пакет, принимает или предпочитает тип MIME, предоставленный клиентом, во время обработки загрузки файлов. В этой конфигурации удаленный злоумышленник может отправить файл, содержащий исполняемый код PHP, объявив при этом безопасный MIME-тип изображения, что приведет к загрузке произвольного файла. Если загруженный файл хранится в доступном через Интернет и исполняемом месте, это может привести к удаленному выполнению кода.
На момент публикации патч не был доступен, и поставщик не отреагировал на скоординированные попытки раскрытия информации.
Показать оригинальное описание (EN)
plank/laravel-mediable through version 6.4.0 can allow upload of a dangerous file type when an application using the package accepts or prefers a client-supplied MIME type during file upload handling. In that configuration, a remote attacker can submit a file containing executable PHP code while declaring a benign image MIME type, resulting in arbitrary file upload. If the uploaded file is stored in a web-accessible and executable location, this may lead to remote code execution. At the time of publication, no patch was available and the vendor had not responded to coordinated disclosure attempts.
Характеристики атаки
Последствия
Строка CVSS v4.0