Filament Excel はエクスポートダウンロードエンドポイントでパス・トラバーサル攻撃に対して脆弱

この脆弱性は、攻撃者が認証情報を必要とせずに、Webサーバー上の任意のファイルにアクセスすることを可能にします。攻撃者は、機密情報を含む設定ファイル、ソースコード、または他の重要なデータをダウンロードできる可能性があります。さらに、この脆弱性は、攻撃者がWebサーバー上でコードを実行するための足がかりとして利用される可能性もあります。この脆弱性は、Filament Excelを導入しているWebアプリケーションのセキュリティを著しく低下させ、機密情報の漏洩やWebサーバーの制御喪失につながる可能性があります。

Applications built with Laravel and utilizing the Filament admin panel, particularly those relying on Filament Excel for exporting data to Excel format, are at risk. Shared hosting environments where users have limited control over server configuration are particularly vulnerable, as they may be unable to implement WAF rules or modify webserver settings.

• laravel: Examine Laravel application logs for requests containing ../ in the /filament-excel/{path} route.

 grep "/filament-excel/\.\.\/" /var/log/laravel.log

• generic web: Monitor web server access logs for requests to /filament-excel/{path} containing directory traversal sequences.

grep '/filament-excel/\.\.\/' /var/log/apache2/access.log

• generic web: Check response headers for unexpected file content types when accessing /filament-excel/{path} with crafted paths.

1. 2024-08-12Disclosure

   disclosure

1. 予約済み2024-08-02
2. 公開日2024-08-12
3. 更新日2024-09-18
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、Filament Excelをバージョン2.3.3にアップデートすることを推奨します。アップデートが困難な場合は、Webサーバーの設定で../を含むURLへのアクセスを制限する、またはFilament Excelのエクスポート機能を一時的に無効化するなどの回避策を検討してください。WAF（Web Application Firewall）を導入し、パストラバーサル攻撃を検知・防御するルールを設定することも有効です。