安全でないクライアント MIME タイプ処理により、plank/laravel-mediable で任意のファイルアップロードが可能になる

CVE-2026-4809 は、plank/laravel-mediable (バージョン 6.4.0 以前) において、危険なファイルをアップロードできる脆弱性です。このパッケージを使用するアプリケーションが、ファイルアップロード処理中にクライアントが提供する MIME タイプを信頼する場合、リモートの攻撃者は悪意のある PHP ファイルを無害な画像に偽装してアップロードできます。これは、実行可能な PHP コードをアップロードしながら、画像 MIME タイプ (例: 'image/jpeg') を宣言することで実現されます。ファイルが Web 経由でアクセス可能で実行可能な場所に保存される場合、リモートコード実行につながる可能性があり、Laravel アプリケーションのセキュリティが損なわれます。

Applications built with Laravel that utilize the laravel-mediable package for file uploads are at risk. This includes projects that rely on client-supplied MIME types for file validation without robust server-side verification. Shared hosting environments where users have control over file uploads are particularly vulnerable.

• laravel: Inspect file upload handling code for reliance on client-supplied MIME types. Check for files with PHP extensions in web-accessible directories. Use find /var/www/laravel -name '*.php' to identify potential targets. • generic web: Monitor web server access logs for unusual file uploads, particularly those with image extensions but potentially malicious content. Look for requests containing Content-Type: image/* followed by PHP file access. • generic web: Use a WAF to block uploads of files with potentially dangerous extensions (e.g., .php, .phtml, .php3) regardless of the declared MIME type.

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-25
2. 公開日2026-03-26
3. EPSS 更新日2026-04-02

推奨される解決策は、plank/laravel-mediable を修正されたバージョン (6.4.0 より大きい) に更新することです。さらに、クライアントが提供する MIME タイプに関係なく、サーバー側で堅牢なファイルタイプ検証を実装することが重要です。これには、ファイル拡張子の検証と、理想的にはファイルの内容を分析して、宣言された MIME タイプと一致することを確認することが含まれます。ファイルストレージディレクトリでの PHP 実行を無効にすることも重要なセキュリティ対策です。最後に、アプリケーションのセキュリティポリシーをレビューおよび強化して、不正なファイルアップロードを防ぐことが不可欠です。