UniSharp Laravel File Manager v2.0.0-alpha7 任意のファイルアップロード

CVE-2019-25673 は、UniSharp Laravel File Manager のバージョン 2.0.0-alpha7 および 2.0 に影響を与え、任意のファイルアップロードの脆弱性を抱えています。認証された攻撃者は、multipart データをアップロードエンドポイントに送信することで、悪意のあるファイル（PHP ファイルを含む）をアップロードできます。この脆弱性の深刻度は高く（CVSS 8.8）、リモートコード実行の可能性があるためです。攻撃者が PHP ファイルを正常にアップロードし、作業ディレクトリ経由でアクセスした場合、サーバー上で任意のコードを実行し、アプリケーションおよび関連データの機密性と整合性を損なう可能性があります。この脆弱性は、不正アクセスが壊滅的な結果をもたらす可能性がある本番環境で特に懸念されます。適切なファイルタイプの検証がないため、この脆弱性が悪用され、リスクを軽減するために迅速なアップデートが必要です。

Applications using UniSharp Laravel File Manager, particularly those with lax file type validation or overly permissive access controls, are at significant risk. Shared hosting environments where multiple applications share the same server are also particularly vulnerable, as a compromise of one application could potentially lead to the compromise of others.

• laravel / server:

find /var/www/laravel/ -name '*.php' -print0 | xargs -0 grep -i 'uniSharp'

• generic web:

curl -I <laravel_app_url>/filemanager/upload | grep 'Content-Type:'

• generic web: Check Laravel application logs for unusual file upload attempts or errors related to file type validation.

1. 2026-04-05Disclosure

   disclosure

1. 予約済み2026-04-05
2. 公開日2026-04-05
3. 更新日2026-04-07
4. EPSS 更新日2026-04-13

推奨される解決策は、UniSharp Laravel File Manager をバージョン 2.0.1 以降にアップデートすることです。アップデートする前に、アプリケーションとデータベースの完全なバックアップを作成することをお勧めします。さらに、File Manager の作業ディレクトリへのアクセスを制限するなど、サーバーのセキュリティ構成を確認してください。サーバー側で堅牢なファイルタイプ検証を実装することは、このタイプの将来の脆弱性を防止するために不可欠です。不正なファイルアップロードの試行など、サーバーログを監視することで、潜在的な攻撃を検出し、対応するのに役立ちます。攻撃に対する追加の保護レイヤーを提供するために、Web Application Firewall (WAF) の実装を検討してください。