Filament Excel Vulnerável a Ataque de Path Traversal no Endpoint de Download de Exportação

O impacto principal desta vulnerabilidade reside na possibilidade de um atacante obter acesso não autorizado a arquivos confidenciais armazenados no servidor. Ao explorar o Path Traversal, um invasor pode manipular a rota de download /filament-excel/{path} para acessar arquivos fora do diretório esperado, contornando as medidas de segurança. Isso pode incluir arquivos de configuração, código-fonte, backups de banco de dados ou outros dados sensíveis. A exploração bem-sucedida pode levar à divulgação de informações confidenciais, comprometimento da integridade do sistema e, potencialmente, à execução remota de código, dependendo dos arquivos acessados e de suas permissões.

Applications built with Laravel and utilizing the Filament admin panel, particularly those relying on Filament Excel for exporting data to Excel format, are at risk. Shared hosting environments where users have limited control over server configuration are particularly vulnerable, as they may be unable to implement WAF rules or modify webserver settings.

• laravel: Examine Laravel application logs for requests containing ../ in the /filament-excel/{path} route.

 grep "/filament-excel/\.\.\/" /var/log/laravel.log

• generic web: Monitor web server access logs for requests to /filament-excel/{path} containing directory traversal sequences.

grep '/filament-excel/\.\.\/' /var/log/apache2/access.log

• generic web: Check response headers for unexpected file content types when accessing /filament-excel/{path} with crafted paths.

1. 2024-08-12Disclosure

   disclosure

1. Reservado2024-08-02
2. Publicada2024-08-12
3. Modificada2024-09-18
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2024-42485 é a atualização imediata para a versão 2.3.3 do Filament Excel. Em ambientes onde a atualização imediata não é possível, considere implementar medidas de segurança adicionais, como a restrição de acesso ao diretório de exportação do Excel através de regras de firewall ou WAF (Web Application Firewall). Verifique se o servidor web não permite o uso de ../ na URL. Monitore os logs de acesso do servidor em busca de tentativas de acesso a arquivos fora do diretório esperado. Após a atualização, confirme a correção verificando se o download de arquivos arbitrários através da rota /filament-excel/{path} é impedido.