CVE-2026-93352

Nome do Software Vulnerável e Versões Afetadas Laravel-Mediable versões 7.0.0 a 7.0.1

Descrição Uma correção incompleta na lista de extensões proibidas (blocklist) em config/mediable.php permite o upload de arquivos com a extensão .pht. Embora outras extensões relacionadas ao PHP estejam bloqueadas, a omissão de .pht permite que os arquivos passem pela validação na função verifyExtension() do MediaUploader e na função sanitizeFileName() do File. Em sistemas Debian e Ubuntu, o Apache executa arquivos .pht como PHP por padrão através da diretiva FilesMatch. Isso permite que um invasor faça o upload e execute um arquivo malicioso, resultando em execução remota de código com os privilégios do processo do servidor web.

Recomendações Atualize o Laravel-Mediable para a versão 7.0.2. Como medida de mitigação temporária, adicione manualmente a extensão .pht à lista forbidden extensions em config/mediable.php.