Platform
laravel
Component
laravel
Opgelost in
9.20.1
9.20.0
9.20.1
CVE-2026-33686 beschrijft een Path Traversal kwetsbaarheid in Laravel, een content management framework. Deze kwetsbaarheid stelt aanvallers in staat om ongeautoriseerde toegang te krijgen tot bestanden op de server. De kwetsbaarheid treedt op in versies van Laravel tot en met 9.20.0. Een update naar versie 9.20.0 of hoger is vereist om deze kwetsbaarheid te verhelpen.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op de server waarop Laravel draait. Dit kan omvatten configuratiebestanden, broncode, database credentials, of andere kritieke data. Een aanvaller kan deze informatie gebruiken om verdere schade aan te richten, zoals het compromitteren van de hele applicatie of het verkrijgen van toegang tot andere systemen binnen het netwerk. De kwetsbaarheid ontstaat doordat de FileUtil::explodeExtension() functie in src/Utils/FileUtil.php bestandsextensies niet correct sanitizeert, waardoor path separators in de storage layer kunnen worden doorgegeven.
Op het moment van publicatie (2026-03-26) is er geen informatie beschikbaar over actieve exploits of KEV-listing. Er zijn ook geen publieke proof-of-concept exploits bekend. De kwetsbaarheid is echter significant vanwege de mogelijkheid om gevoelige bestanden te benaderen, wat de potentiële impact aanzienlijk kan zijn.
Applications utilizing Laravel Sharp versions prior to 9.20.0 are at risk. This includes projects that rely on Sharp for file management and content handling. Shared hosting environments using Laravel Sharp are particularly vulnerable, as they may lack the ability to easily update the framework.
• laravel / server:
find /var/www/laravel/vendor/sharp/src/Utils -name 'FileUtil.php' -print• laravel / server:
grep -r 'strrpos' /var/www/laravel/vendor/sharp/src/Utils/FileUtil.php• generic web:
curl -I 'http://your-laravel-app.com/path%2e%2e/to/sensitive/file.txt'• generic web:
wget -S 'http://your-laravel-app.com/path%2e%2e/to/sensitive/file.txt' | grep 'Server:'disclosure
Exploit Status
EPSS
0.07% (22% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2026-33686 is het upgraden van Laravel naar versie 9.20.0 of hoger, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan een Web Application Firewall (WAF) worden ingezet om path traversal pogingen te detecteren en te blokkeren. Configureer de WAF om verzoeken met verdachte path separators (zoals ../) te filteren. Daarnaast kan het configureren van Laravel's bestandsopslag met strikte permissies helpen om de impact van een succesvolle exploitatie te beperken. Na de upgrade, bevestig de correcte werking door te proberen een bestand buiten de toegestane directory te benaderen via een web request.
Actualiseer de versie van Sharp naar 9.20.0 of hoger. Deze versie corrigeert de path traversal kwetsbaarheid door bestandsextensies correct te sanitiseren. De update kan worden uitgevoerd via de Composer package manager.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-33686 is a Path Traversal vulnerability in Laravel Sharp versions before 9.20.0, allowing attackers to potentially access arbitrary files on the server due to improper file extension sanitization.
You are affected if you are using Laravel Sharp versions prior to 9.20.0. Check your project's dependencies to determine if you are vulnerable.
Upgrade Laravel Sharp to version 9.20.0 or later to resolve this vulnerability. This version includes a fix for the improper file extension sanitization.
As of now, there are no confirmed reports of active exploitation of CVE-2026-33686, but the vulnerability's nature makes it a potential target.
Refer to the Laravel Sharp project's repository or official documentation for the advisory related to CVE-2026-33686.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je composer.lock-bestand en we vertellen je direct of je getroffen bent.