Filament Excel kwetsbaar voor Path Traversal aanval op Export Download Endpoint

De impact van deze Path Traversal kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om gevoelige bestanden van de server te downloaden, waaronder configuratiebestanden, broncode, of andere vertrouwelijke data. Dit kan leiden tot data-exfiltratie, compromittering van de server, en verdere aanvalsmogelijkheden. De kwetsbaarheid is vooral gevaarlijk in omgevingen waar de webserver configuratie onjuist is ingesteld en ../ in de URL toestaat. Het misbruik van deze kwetsbaarheid kan leiden tot een aanzienlijke inbreuk op de vertrouwelijkheid van de data.

Applications built with Laravel and utilizing the Filament admin panel, particularly those relying on Filament Excel for exporting data to Excel format, are at risk. Shared hosting environments where users have limited control over server configuration are particularly vulnerable, as they may be unable to implement WAF rules or modify webserver settings.

• laravel: Examine Laravel application logs for requests containing ../ in the /filament-excel/{path} route.

 grep "/filament-excel/\.\.\/" /var/log/laravel.log

• generic web: Monitor web server access logs for requests to /filament-excel/{path} containing directory traversal sequences.

grep '/filament-excel/\.\.\/' /var/log/apache2/access.log

• generic web: Check response headers for unexpected file content types when accessing /filament-excel/{path} with crafted paths.

1. 2024-08-12Disclosure

   disclosure

1. Gereserveerd2024-08-02
2. Gepubliceerd2024-08-12
3. Gewijzigd2024-09-18
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-42485 is het upgraden naar Filament Excel versie 2.3.3 of hoger. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het configureren van de webserver (bijvoorbeeld Apache of Nginx) om ../ in de URL te blokkeren. Controleer de webserver configuratie en zorg ervoor dat de directory indexering is uitgeschakeld voor de map waar de excel export bestanden worden opgeslagen. Na de upgrade, verifieer de fix door te proberen een bestand buiten de toegestane export directory te downloaden via de /filament-excel/{path} route; dit zou moeten resulteren in een fout.